Veel organisaties gebruiken op elk toestel hetzelfde lokale administratorwachtwoord. Lekt dat ene wachtwoord, dan kan een aanvaller zich op alle toestellen aanmelden. Windows LAPS (Local Administrator Password Solution) lost dat op: elk toestel krijgt een uniek, sterk wachtwoord dat automatisch wijzigt en veilig bewaard wordt in Microsoft Entra ID. In dit artikel lees je hoe je het activeert met Entra en Intune, en hoe je een wachtwoord opvraagt.
Wat heb je nodig?
- Windows 11 of een ondersteunde Windows 10-versie met de updates van april 2023 of later. Windows LAPS zit in Windows zelf; de oude LAPS-installatie (MSI) is niet nodig.
- Toestellen die aan Microsoft Entra joined of hybrid joined zijn.
- Microsoft Intune om het beleid te verdelen. Lees de basisactivatie van Intune.
Stap 1: LAPS aanzetten in Entra
- Ga naar entra.microsoft.com > Apparaten > Alle apparaten > Apparaatinstellingen.
- Zet Microsoft Entra Local Administrator Password Solution (LAPS) inschakelen op Ja.
- Klik op Opslaan.
Stap 2: een beleid maken in Intune
- Ga naar intune.microsoft.com > Eindpuntbeveiliging > Accountbeveiliging > Beleid maken.
- Kies platform Windows en profiel Local admin password solution (Windows LAPS).
- Zet Back-upmap op Wachtwoord alleen back-uppen naar Microsoft Entra ID.
- Kies de wachtwoordleeftijd (bijvoorbeeld 30 dagen), de lengte en de complexiteit.
- Stel acties na verificatie in: na gebruik wijzigt het wachtwoord automatisch en kan de sessie afgemeld worden.
- Wijs het beleid toe aan een groep toestellen en sla op.
Stap 3: het wachtwoord opvragen
- In Entra: Apparaten > kies het toestel > Herstel van wachtwoord van lokale beheerder > Lokaal beheerderswachtwoord weergeven.
- In Intune: Apparaten > kies het toestel > Lokaal beheerderswachtwoord.
- Met PowerShell: Get-LapsAADPassword -DeviceIds <naam> -IncludePasswords (Microsoft Graph-module).
Alleen rollen zoals Cloudapparaatbeheerder, Intune-beheerder of een aangepaste rol met leesrechten op lokale referenties zien het wachtwoord. Elke weergave wordt gelogd in de auditlogboeken.
Wachtwoord meteen wijzigen
Heb je het wachtwoord gebruikt of gedeeld met een collega? Kies in Intune bij het toestel Lokaal beheerderswachtwoord roteren. Het toestel maakt bij de volgende synchronisatie een nieuw wachtwoord.