LAPS
組織内のすべてのマシンが同じローカル管理者パスワードを共有している問題に対する、Microsoftの答え。各マシンに固有のランダムなパスワードを与え、ディレクトリに保管する。
ローカル管理者パスワードの使い回しは、侵入が1台のワークステーションから環境全体に広がる最も一般的な原因だ。1台からハッシュを取れば、解読しなくても他のすべてのマシンで通用してしまう。LAPSはコンピューターごとにランダムなパスワードを生成し、ポリシーに従ってローテーションし、Active Directory上のコンピューターオブジェクトの属性に保存する。誰が読めるかは権限で制御される。
初代は平文で保存し、クライアントコンポーネントの導入が必要だった。2023年のWindows LAPSはOSに組み込まれ、値を暗号化する。監査で定番の指摘は、この属性の読み取り権限が広く与えられすぎていることことだ。