Windows LAPS Yapılandırması: Adım Adım Yerel Yönetici Parolası Yönetimi

Windows LAPS yapılandırması, yerel yönetici hesaplarının aynı parolayı paylaşmasından doğan yatay tarama (lateral movement) riskini kökten kapatır. Çünkü Windows LAPS her cihazın yerel yönetici parolasını otomatik üretir, düzenli aralıklarla döndürür ve Active Directory veya Microsoft Entra ID üzerinde yalnızca yetkili kişilerin erişebildiği güvenli bir alana yedekler.

Eski Microsoft LAPS artık emekliye ayrılıyor; Windows 11 23H2 ve sonrası, eski LAPS MSI kurulumunu doğrudan engelliyor. Dolayısıyla bu rehberde, Windows’un içine gömülü gelen yeni nesil Windows LAPS‘ı Active Directory ortamında uçtan uca yapılandırıyoruz: şema güncellemesinden GPO ayarlarına, parola permission’larından DSRM yönetimine ve felaket kurtarmaya kadar adım adım.

Windows LAPS nedir, eski LAPS’tan farkı nedir?

Windows LAPS, 11 Nisan 2023 Windows güncellemeleriyle birlikte işletim sisteminin yerel bir özelliği hâline geldi; ayrıca ayrı bir indirme veya kurulum gerektirmiyor. Eski Microsoft LAPS’tan farklı olarak Desteklediği yetenekler şunlar:

• Microsoft Entra ID yedeklemesi: Windows LAPS parolayı AD’ye ek olarak Entra ID’de de tutar; böylece Intune ile yönetilen cihazlar native destek alır.
• Parola şifreleme: AD’deki parolayı yalnızca yetkili principalin çözebileceği biçimde şifreliyor (DFL 2016+ gerekir).
• Parola geçmişi: Son 12 şifreli parolayı geçmişte tutuyor; böylece kurtarma senaryolarında eski parolaya ulaşmak mümkün.
• DSRM yönetimi: Domain controller’ların Directory Services Restore Mode hesabının parolasını da otomatik yönetiyor.
• Kimlik doğrulama sonrası aksiyonlar: Yönetilen hesapla oturum açıldıktan sonra gecikmeli olarak parola sıfırlama + oturum kapatma gibi otomatik kontroller.

Özetlemek gerekirse: Microsoft eski LAPS’ı hâlâ destekliyor ancak yeni işletim sistemleri kurulumu engelliyor. Bu yüzden yeni kurulumlarda ve eski LAPS migrasyonunda tek adres Windows LAPS.

Hangi platformlarda çalışır?

Bunun yanında yeni nesil ayarlar (passphrase üretimi, otomatik hesap yönetimi, gelişmiş kimlik doğrulama sonrası aksiyonlar) yalnızca Windows 11 24H2 ve Windows Server 2025 veya sonrasında çalışıyor. Dolayısıyla karışık ortamda politika tasarımı yapırken sürüm farklarını göz önünde bulundurmalısın.

Nasıl çalışır: join durumu kuralları

Cihazın nereye join edildiği, parolanın nereye yedeklenebileceğini belirler. Kurallar şöyle:

• Sadece Entra ID join cihaz → yalnızca Entra ID’ye yedekler.
• Sadece AD join cihaz → yalnızca Active Directory’ye yedekler.
• Hybrid join cihaz → ikisinden birini seçebilir. Ancak Windows LAPS aynı anda iki hedefin birden yedeğine izin vermiyor.
• Windows LAPS, Entra workplace-join cihazları kapsamıyor.

Ayrıca Windows LAPS politikayı saatte bir işler ve Group Policy değişikliğini bildirimle yakalar. Yani değişiklikler ortalama bir saat içinde yürürlüğe girer.

Ön koşul: Domain Functional Level ve şema

Active Directory senaryosu için DFL seviyen kritik: 2016 altındaki bir seviyede yalnızca ACL ile korunan açık metin saklama yapabilirsin; parola şifreleme ve DSRM yönetimi kapalı kalır. DFL 2016+ ile şifreleme açılır; DSRM yönetimi için ayrıca Windows Server 2019+ DC gerekir.

Şema güncellemesini orman genelinde bir kez yapıyorsun. Bu işlemi Update-LapsADSchema cmdlet’i otomatikleştirir; ayrıca komutu Windows Server 2019 ve sonrası bir DC üzerinden veya LAPS PowerShell modülünü destekleyen herhangi bir sunucudan çalıştırabilirsin.

Windows LAPS yapılandırması adım adım (Active Directory)

Adım 1 — Active Directory şemasını güncelle

Öncelikle schema master erişimi olan bir hesapla (Schema Admins + Domain Admins) LAPS özniteliklerini şemaya ekleyelim:

Update-LapsADSchema -Verbose

Bu komut, cihazların parolasını yazacağı yeni AD özniteliklerini tanımlar. İşlem forest genelinde bir defalığına yeterlidir.

Adım 2 — Cihazların kendi parolasını güncellemesine izin ver

Yönetilen cihaz, parolasını AD’ye yazabilmek için ilgili OU üzerinde izin ister. Inheritable permission’ı cmdlet ile veriyoruz:

Set-LapsADComputerSelfPermission -Identity "OU=LapsManaged,DC=contoso,DC=com"

Daha geniş kapsama istersen domain kökünü DN formatında verebilirsin: DC=contoso,DC=com. Ancak en iyisi, yöneteceğin cihazların olduğu OU’larla sınırlı tutmak.

Adım 3 — Parola okuma ve sıfırlatma izinlerini delege et

Parolayı AD’den sorgulayacak gruba (örneğin helpdesk) okuma izni ver:

Set-LapsADReadPasswordPermission -Identity "OU=LapsManaged,DC=contoso,DC=com" -AllowedPrincipals @("contoso\LapsPasswordReaders")

Ardından, parolanın süresini öne çekerek döndürme tetikleyecek grup için expiration izni:

Set-LapsADResetPasswordPermission -Identity "OU=LapsManaged,DC=contoso,DC=com" -AllowedPrincipals @("contoso\LapsPasswordExpirers")

Unutma: Domain Admins bu izinlerin ikisine de varsayılan olarak sahiptir. Üstelik okuma izni, şifreli parolayı çözme hakkı vermez; decryption yetkisi ADPasswordEncryptionPrincipal politika ayarıyla belirlenir. Bundan dolayı delegasyonu en az ayrıcalık prensibiyle kur.

Adım 4 — Extended rights denetimi yap

LAPS parola öznitelikleri “confidential” işaretlidir. Üzerinde extended-rights izni olan hesaplar bu öznitelikleri okuyabilir; yani denetlemesen sessiz bir yetki açığı kalabilir. Kontrol için:

Find-LapsADExtendedRights -Identity "OU=LapsManaged,DC=contoso,DC=com"

Çıktıda yalnızca SYSTEM ve Domain Admins görünüyorsa sorun yok demektir. Başka bir hesap listeleniyorsa izni kaldır; zira her fazladan hesap parola özniteliklerini okuyabilir.

Adım 5 — Group Policy ile cihaz politikasını tanımla

Windows LAPS GPO şablonu işletim sistemiyle gelir: %windir%\\PolicyDefinitions\\LAPS.admx. Central Store kullanıyorsan LAPS.admx ve .adml dosyalarını merkezi depoya elle kopyalaman gerekir; Windows Update central store’a bu dosyaları maalesef kendiliğinden taşımaz. Bu adım atlanırsa ayarları GPO editöründe göremezsin.

Politika yolu: Computer Configuration > Policies > Administrative Templates > System > LAPS. Minimum yapılandırmayı şöyle kurmalısın:

Şifreli saklama istiyorsan (DFL 2016+) ek olarak şunları aç:

• ADPasswordEncryptionEnabled = 1: Parolayı AD içinde şifreli tutar.
• ADPasswordEncryptionPrincipal: Çözme yetkisi olan grup. Ayarlanmazsa varsayılan Domain Admins’tir; yardım masası kullanacaksa bu grubu dikkatle belirle.
• ADEncryptedPasswordHistorySize (0-12): Kaç eski şifreli parolayı geçmişte tutacağını belirtir; kurtarma senaryoları için 3-5 gibi makul bir değer ver.

Bir uyarı da politika önceliğiyle ilgili: Windows LAPS; LAPS CSP (Intune), Group Policy, yerel yapılandırma ve eski LAPS registry köklerini bu sırayla sorgular. Sırada en az bir ayar taşıyan ilk kök aktif politikadır; Windows LAPS eksik ayarları o kökün varsayılanlarıyla tamamlar. Ayarlar kökler arasında asla birbirine karışmaz. Yani eski LAPS GPO’ların duruyorsa ve native LAPS ayarı yoksa, emülasyon modu devreye girer.

Adım 6 — Politikayı uygula ve doğrula

Hemen sonuç almak için cihazda politika işleme tetikle:

gpupdate /target:computer /force
Invoke-LapsPolicyProcessing

Başarılı yedeklemeyi olay günlüğünden doğrula: Microsoft-Windows-Laps/Operational kanalındaki Event ID 10018 kaydı, parolanın AD’ye başarıyla yazıldığını gösterir. Oysa karşı tarafta Event ID 10027 görürsen, parola uzunluk/şiddet ayarların cihazın lokal policy’siyle çakışıyor demektir; değeri düzelt ve yeniden işlettir.

Son adım olarak parolayı AD’den çekmeyi test et:

Get-LapsADPassword -Identity W11-042 -AsPlainText

Çıktıda Source satırı “EncryptedPassword” ise şifreleme aktif demektir. Erişim hatası alırsan 3. adımdaki okuma izinlerini kontrol et.

Erken döndürme ve manuel rotasyon

Bir sızıntı sonrası beklemeden parola döndürmek istersen iki yolun var. Birincisi, cihaz üzerinde anında sıfırlama:

Reset-LapsPassword

İkincisi merkezi yöntem: AD’deki expiration zamanını öne çek; cihaz bir sonraki işlemede parolayı kendi döndürür:

Set-LapsADPasswordExpirationTime -Identity W11-042

Dolayısıyla bu yaklaşım, yönetilen hesap parolasının ele geçtiği şüphesinde izole cihaz bile olsa kontrolü elinde tutmanı sağlar.

Domain controller’larda DSRM parolası yönetimi

Windows LAPS’ın en az bilinen ama en değerli özelliği DSRM hesabını da yönetebilmesidir. AD’ye yedekleme yapan bir DC’de şu üç şart gerekir: DFL 2016+, parola şifrelemesi aktif ve Windows Server 2019 veya üzeri DC. Politikada ADBackupDSRMPassword = 1 yaptığında, Windows LAPS DSRM parolasını da otomatik üretir ve AD’de Domain Admins’in çözebileceği şifreli özniteliğe yazar. Böylece “DC’lerin DSRM parolası ortak ve 10 yıldır aynı” denetim bulgusu tamamen kapanır.

Eski Microsoft LAPS’tan migrasyon

Hâlâ eski LAPS kuranlar için iki geçiş stratejisi var. Kısa vadeli çözüm legacy emülasyon modu: Native Windows LAPS, eski LAPS GPO ayarlarını okuyup uygular; ayrıca cihazda eski LAPS Group Policy CSE’si kurulmamış olmalıdır, çünkü CSE varsa Windows LAPS ona bırakır ve emülasyon kapanır. Ancak bu mod parolayı açık metin tutar; şifreleme ve geçmiş özellikleri çalışmaz. Bu yüzden geçici bir köprü olarak gör.

Doğru kalıcı yol ise native Windows LAPS politikalarına geçiştir: Bu rehberdeki adımları uygula, native GPO ayarlarını yayınla; sistem native ayarları gördüğü anda eski ayarları yok sayar. Son olarak eski LAPS yazılımını cihazlardan kaldır. Windows 11 23H2 ve üzeri eski MSI’ı zaten kuramadığı için bu iş ertelendikçe zorlaşır.

Entra ID’ye yedekleme (Intune ile yönetilen cihazlar)

Entra join veya hybrid join cihazlarını Intune ile yönetiyorsan aynı işi bulut tarafında yapabilirsin. Bu senaryoda AD şeması güncellemene gerek yok; LAPS CSP ayarlarıyla BackupDirectory = 1 yaparak parolayı Entra ID’ye yedeklersin. Yetki modelini AD’deki ACL yerine Entra RBAC rolüyle kurarsın: “Local Administrator Password Solution Reader/Contributor” rolleri, Windows 365 veya Azure Virtual Desktop altındaki cihazlar için de idealdir.

Buna paralel olarak karma ortamlarda kuralı hatırla: Hibrid cihaz birini seçer, ikisini birden desteklemez. Bu yüzden AD yönetimli istemciler ile cloud-first cihazlar için iki ayrı politika tasarla.

Felaket kurtarma: Tüm DC’ler uçtuysa parolayı nasıl bulursun?

Normalde parola sorgusu en az bir DC ister. Ancak tüm domain controllers’ın erişilemez olduğu senaryoda, düzenli aldığın DC yedekleri içindeki AD veritabanını dsamain.exe ile monte edip oradan çekebilirsin:

# İstemci tarafında ADAM/DSAM özelliğini aç (bir defa)
Enable-WindowsOptionalFeature -Online -FeatureName DirectoryServices-ADAM-Client
# Windows Server ise: DirectoryServices-ADAM

# Yedekten monte edilen DIT'i LDAP 50000 üzerinde sorgula (Insider build 27695+ / 24H2 nesli)
Get-LapsADPassword -Identity W11-042 -AsPlainText -Port 50000 -RecoveryMode

Recovery modda sorguyu workgroup bir makineden de çekebilirsin. Yalnızca AuthorizedDecryptor alanı SID olarak görünür; çünkü ismi çevirecek DC kalmamıştır.

Best practice özeti

• Şifreli saklama + makul parola geçmişi (3-5) + expiration protection açık bırak; Kısacası üçü birden en güvenli kombinasyon.
• Helpdesk’e yalnızca okuma izni ver, şifre çözme principalini Domain Admins dışına taşırmadan genişlet.
• Yerleşik yönetici hesabını yönetmek için AdministratorAccountName’i boş bırak; isimle değil RID ile tanır, yerel dil tuzağına düşmez.
• Passphrase ve otomatik hesap yönetimi (AutomaticAccountManagement) kullanacaksan 24H2/Server 2025 neslini hedefle; eski OS’ler 5-8 değerlerini desteklemez, varsayılan 4’e döner.
• Central Store varsa LAPS.admx/.adml kopyalamayı Change Management listesine yaz; maalesef en sık karşılaşılan sessiz hata budur.

24 yıllık saha tecrübemle söyleyeyim: Yerel yönetici parolası hijyeni, ransomware senaryosunda “bir cihaz düştü, tüm ortam düştü” ile “bir cihaz düştü, orada kaldı” arasındaki tek incedir. Dolayısıyla Windows LAPS bu ipi bedava sunuyor; kurmamak artık tercih meselesi.

Kaynaklar

• Microsoft Learn — What is Windows LAPS?
• Microsoft Learn — Get started with Windows LAPS and Windows Server Active Directory
• Microsoft Learn — Configure policy settings for Windows LAPS
• Microsoft Learn — Migrate to Windows LAPS from legacy LAPS
• Microsoft Learn — Windows LAPS troubleshooting guidance
• Microsoft Learn — LAPS PowerShell modülü referansı