Windows LAPS – Local Administrator Password Solution, Windows bilgisayarlardaki local administrator hesaplarının parolalarını otomatik olarak oluşturan, düzenli olarak değiştiren ve güvenli şekilde Active Directory veya Microsoft Entra ID üzerinde saklayan Microsoft çözümüdür.
LAPS’in temel amacı oldukça basittir: Domain içerisindeki veya kurumsal olarak yönetilen tüm bilgisayarlarda aynı local administrator parolasının kullanılmasını engellemek.
Malum, özellikle eski ortamlarda sık karşılaştığımız yapılardan biri tüm client veya server sistemlerinde aynı local Administrator parolasının kullanılmasıdır. Bu hesaplardan birinin parolası ele geçirildiğinde saldırgan aynı credential ile diğer sistemlere de erişmeye çalışabilir. Windows LAPS bu riski her cihaz için farklı, rastgele ve düzenli olarak değişen local administrator parolaları kullanarak azaltır.
Windows LAPS Nedir?
Windows LAPS, Microsoft’un Windows işletim sistemine entegre ettiği local administrator password management çözümüdür.
Windows LAPS ile yönetilen local administrator hesabının parolası otomatik olarak oluşturulur, belirlediğiniz sürelerde rotate edilir ve yetkili yöneticilerin erişebileceği şekilde merkezi olarak saklanır.
Parola aşağıdaki iki platformdan birine yedeklenebilir:
- Windows Server Active Directory
- Microsoft Entra ID
Bu sayede her bilgisayar için ayrı bir local administrator parolası kullanılır ve yöneticilerin bu parolaları manuel olarak oluşturması veya takip etmesi gerekmez.
Neden Windows LAPS Kullanmalıyız?
LAPS kullanmadığınız bir ortamda aynı local administrator parolasının birden fazla bilgisayarda kullanılması ciddi bir güvenlik riskidir.
Örneğin bir endpoint üzerindeki local administrator credential’ı ele geçirildiğinde saldırgan aynı kullanıcı adı ve parola kombinasyonunu diğer sistemlerde deneyebilir. Parola ortaksa lateral movement için önemli bir fırsat ortaya çıkar.
Windows LAPS ile:
- Her cihaz için benzersiz local administrator parolası oluşturulur.
- Parolalar belirli aralıklarla otomatik değiştirilir.
- Parolayı yalnızca yetkilendirilmiş kullanıcı veya gruplar okuyabilir.
- Manuel parola takibi ihtiyacı azalır.
- Bir cihazın local administrator parolasının ele geçirilmesi diğer cihazları doğrudan etkilemez.
- Active Directory veya Microsoft Entra ID üzerinden merkezi yönetim sağlanır.
Legacy Microsoft LAPS ile Windows LAPS Arasındaki Fark Nedir?
Burada önemli bir ayrım var. Microsoft’un uzun yıllar sunduğu eski çözüm günümüzde legacy Microsoft LAPS olarak adlandırılıyor.
Legacy LAPS ayrı olarak indirilen ve client sistemlere Group Policy Client Side Extension kurularak çalışan bir çözümdü.
Windows LAPS ise modern Windows sürümlerinde işletim sisteminin yerleşik bir parçasıdır. Ayrı legacy LAPS paketinin kurulmasına ihtiyaç duymaz.
| Özellik | Legacy Microsoft LAPS | Windows LAPS |
|---|---|---|
| Kurulum | Ayrı paket ve CSE gerekir | Windows’a entegredir |
| Active Directory desteği | Var | Var |
| Microsoft Entra ID desteği | Yok | Var |
| AD’de parola encryption | Yok | Var |
| Password history | Yok | Var |
| Otomatik account management | Yok | Yeni sürümlerde var |
Mevcut legacy LAPS ortamlarında Windows LAPS ile belirli migration senaryoları ve emulation mode kullanılabilir. Ancak uzun vadede hedefin native Windows LAPS kullanımına geçmek olması daha doğru olur.
Windows LAPS Hangi Sistemlerde Destekleniyor?
Windows LAPS, güncel Windows 11 istemcilerde ve Windows Server 2019, Windows Server 2022 ve Windows Server 2025 gibi desteklenen sunucu işletim sistemlerinde kullanılabilir.
Windows LAPS desteği Windows 10 ve Windows 11’in önceki sürümlerine de Nisan 2023 güncellemeleriyle eklenmişti. Ancak Windows 10’un genel desteği sona erdiği için yeni LAPS projelerinde desteklenen Windows 11 veya Windows Server sürümlerini esas almak gerekir.
Windows LAPS Nasıl Çalışır?
Windows LAPS’in çalışma mantığını basitleştirirsek süreç şu şekildedir:
- Windows LAPS policy’si cihaza uygulanır.
- Yönetilecek local administrator account belirlenir.
- Windows rastgele ve güçlü bir parola oluşturur.
- Parola Active Directory veya Microsoft Entra ID’ye yedeklenir.
- Parolanın expiration süresi takip edilir.
- Süre dolduğunda yeni bir parola üretilir.
- Yeni parola tekrar directory üzerine yedeklenir.
Windows LAPS’in background processing işlemi düzenli aralıklarla çalışır. Active Directory kullanılan senaryolarda cihaz directory üzerindeki parola expiration bilgisini kontrol ederek gerekli olduğunda yeni parola oluşturur.
Windows LAPS Parolaları Nerede Saklanır?
Windows LAPS kullanılan mimariye göre local administrator parolasını Active Directory veya Microsoft Entra ID üzerinde saklayabilir.
Active Directory ile Windows LAPS
On-premises Active Directory kullanan ortamlarda parola ilgili computer object üzerinde saklanır.
Windows LAPS’in legacy LAPS’e göre önemli avantajlarından biri Active Directory üzerinde saklanan parolanın şifrelenebilmesidir. Böylece parolayı kimin okuyabileceğini daha kontrollü şekilde belirleyebilirsiniz.
Microsoft Entra ID ile Windows LAPS
Microsoft Entra joined veya uygun şekilde yönetilen cihazlarda local administrator parolası Microsoft Entra ID’ye de yedeklenebilir.
Bu senaryo özellikle klasik on-premises Active Directory bulunmayan, Intune ve Entra ID merkezli modern endpoint yönetimi yapan organizasyonlar için önemlidir.
Windows LAPS ile Hangi Hesap Yönetilir?
Windows LAPS built-in Administrator hesabını veya sizin oluşturduğunuz özel bir local administrator hesabını yönetebilir.
Burada Windows LAPS’in yeni sürümlerinde önemli bir gelişme bulunuyor: Automatic Account Management.
Windows LAPS Automatic Account Management Nedir?
Windows 11 24H2 ve Windows Server 2025 ile birlikte Windows LAPS yalnızca hesabın parolasını yönetmekle kalmıyor, local administrator hesabının kendisini de otomatik olarak yönetebiliyor.
Automatic Account Management kullanıldığında Windows LAPS:
- Yeni bir local administrator hesabı oluşturabilir,
- hesabın adını belirleyebilir,
- hesap adını randomize edebilir,
- hesabı enable veya disable edebilir,
- hesabı local Administrators grubuna ekleyebilir,
- ve hesabın parolasını otomatik yönetebilir.
Bu oldukça önemli bir gelişme. Çünkü klasik LAPS kullanımında custom local administrator hesabının cihazlarda ayrıca oluşturulması gerekiyordu. Yeni automatic account management modeli bu operasyonel yükü ciddi şekilde azaltıyor.
Microsoft güncel dokümantasyonunda, özel bir gereksinim olmadığı sürece automatic account management kullanılmasını ve mümkünse built-in Administrator hesabı yerine Windows LAPS tarafından yönetilen ayrı bir local administrator hesabının tercih edilmesini öneriyor.
Windows LAPS Password Rotation Nasıl Çalışır?
LAPS parolasının ömür süresini policy üzerinden belirleyebilirsiniz. Süre dolduğunda Windows LAPS yeni bir parola oluşturur ve directory üzerine yedekler.
Ayrıca Windows LAPS ile parola kullanıldıktan sonra belirli aksiyonlar uygulanabilir. Örneğin parolanın reset edilmesi ve gerektiğinde kullanıcının oturumunun sonlandırılması gibi post-authentication işlemleri yapılandırılabilir.
Bu özellik, özellikle LAPS parolasının help desk veya yönetici tarafından kullanıldıktan sonra gereğinden uzun süre geçerli kalmasını engellemek açısından faydalıdır.
Windows LAPS Password ve Passphrase Desteği
Windows LAPS yalnızca klasik karmaşık password üretmekle sınırlı değildir. Güncel sürümlerde parola üretim politikalarını ve desteklenen sistemlerde passphrase kullanımını da yapılandırabilirsiniz.
Burada benim önerim kullanıcı tarafından hatırlanabilecek kolay parolalar oluşturmaya çalışmak yerine LAPS’in ürettiği güçlü ve rastgele credential’ları kullanmaktır. Zaten LAPS hesabının amacı günlük kullanıcı hesabı olarak kullanılmak değil, gerektiğinde kontrollü şekilde local administrative access sağlamaktır.
Windows LAPS Parolasını Kimler Görebilir?
LAPS’in önemli güvenlik noktalarından biri local administrator parolasına herkesin erişememesidir.
Active Directory ortamında hangi kullanıcı veya grupların LAPS parolasını okuyabileceğini yetkilendirebilirsiniz.
Örneğin help desk ekibiniz belirli workstation OU’sundaki bilgisayarların LAPS parolalarını okuyabilirken server sistemlerinin parolalarına erişemeyebilir.
Ben burada mümkün olduğunca least privilege yaklaşımını öneriyorum. LAPS parolasını okuyabilen hesapları geniş domain gruplarına vermek yerine gerçekten ihtiyacı olan operasyon ekiplerine ve mümkünse belirli OU kapsamlarına göre yetkilendirmek daha doğru olur.
Domain Controller’larda LAPS Kullanılır mı?
Domain Controller üzerinde normal workstation veya member server’lardaki gibi bir local Administrator hesabı bulunmaz. Ancak Windows LAPS, Domain Controller’ların Directory Services Restore Mode – DSRM hesabının parolasını yönetmeyi destekler.
Bu özellikle DSRM parolalarının yıllarca değiştirilmeden bırakıldığı ortamlarda önemli bir güvenlik avantajı sağlar.
Windows LAPS Policy İşlemini Manuel Tetiklemek
Windows LAPS policy processing işlemini test veya troubleshooting amacıyla manuel olarak da başlatabilirsiniz.
Windows LAPS için tercih edilen PowerShell komutu:
Invoke-LapsPolicyProcessingAlternatif olarak Group Policy refresh işlemi de tetiklenebilir:
gpupdate.exe /target:computer /forceAncak burada legacy LAPS ile Windows LAPS arasında önemli bir mimari fark bulunuyor. Legacy LAPS bir Group Policy Client Side Extension olarak çalışırken Windows LAPS’in kendi background processing mekanizması vardır.
Legacy LAPS Kullanıyorsanız Ne Yapmalısınız?
Eğer ortamınızda eski Microsoft LAPS kullanıyorsanız doğrudan kaldırmadan önce migration planı oluşturmanızı öneririm.
Windows LAPS legacy policy ayarlarını belirli koşullarda emulation mode ile destekleyebilir ve iki çözüm geçiş döneminde aynı ortamda çalışabilir. Ancak aynı local hesabın hem legacy LAPS hem Windows LAPS tarafından yönetilmemesi gerekir.
Uzun vadede legacy LAPS’ten native Windows LAPS’e geçmek daha doğru yaklaşımdır. Çünkü Windows LAPS; Entra ID entegrasyonu, Active Directory üzerinde password encryption, password history ve yeni account management özellikleri gibi legacy çözümde bulunmayan yetenekler sunar.
Windows LAPS Güvenlik Açısından Neden Önemlidir?
Sahada local administrator hesaplarının çoğu zaman hak ettiği kadar yakından yönetilmediğini görüyoruz. Domain Admin hesapları için güçlü politikalar uygulanırken yüzlerce endpoint üzerindeki local Administrator hesapları aynı parola ile bırakılabiliyor.
Bu durum bir endpoint compromise edildiğinde lateral movement riskini ciddi şekilde artırır.
Windows LAPS bu problemi basit ama etkili bir yöntemle çözer: her cihazın local administrator credential’ını benzersiz hale getirir ve düzenli olarak değiştirir.
Ancak LAPS’i tek başına yeterli bir privileged access çözümü olarak düşünmemek gerekir. Local admin kullanımının sınırlandırılması, endpoint security, Credential Guard, privileged account yönetimi ve least privilege gibi diğer kontrollerle birlikte değerlendirilmelidir.
Özet
Windows LAPS, local administrator parolalarının manuel ve ortak şekilde yönetilmesi sorununu ortadan kaldırmak için Microsoft’un sunduğu yerleşik password management çözümüdür.
Her cihaz için benzersiz parola üretir, parolaları otomatik rotate eder ve bunları Active Directory veya Microsoft Entra ID üzerinde güvenli şekilde saklar.
Özellikle legacy Microsoft LAPS kullanan ortamlarda artık yeni Windows LAPS özelliklerini değerlendirmek gerekir. Windows 11 24H2 ve Windows Server 2025 ile gelen Automatic Account Management özelliği sayesinde yalnızca parolanın değil, yönetilecek local administrator hesabının kendisinin de otomatik olarak oluşturulması ve yönetilmesi mümkün hale geldi.
Ben yeni bir LAPS tasarımında mümkün olduğunca native Windows LAPS kullanır, parola okuma yetkilerini least privilege prensibine göre sınırlar ve desteklenen sistemlerde automatic account management modelini değerlendirirdim.
