Windows LAPS avec Intune : déployer, déléguer et auditer la récupération

Position recommandée

Intune configure le Windows LAPS CSP via Endpoint Security Account protection. Le poste sauvegarde vers Microsoft Entra ID ou Active Directory selon BackupDirectory et son type de jointure, jamais vers les deux simultanément.

Le compte built-in est identifié par RID; un compte custom doit exister sur les versions antérieures, tandis qu’Automatic Account Management sur Windows 11 24H2+ ajoute de nouvelles capacités à segmenter par version.

La lecture d’un mot de passe déclenche un audit. Je sépare création policy, rotation et lecture avec des rôles minimaux, puis je teste les post-authentication actions et la perte d’un objet device.

Intune configure le Windows LAPS CSP via Endpoint Security Account protection. Le poste sauvegarde vers Microsoft Entra ID ou Active Directory selon BackupDirectory et son type de jointure, jamais vers les deux simultanément.

Besoin, cas d’usage et périmètre de la recommandation

BackupDirectory 1 cible Entra et 2 Active Directory; 0 désactive la sauvegarde et rend les autres réglages sans effet utile. Le type de jointure doit supporter la destination.

AdministratorAccountName n’est pas nécessaire pour le built-in account reconnu par RID. Pour un custom account manuel, LAPS ne le crée pas sur les anciennes versions et peut ne pas signaler clairement son absence.

PasswordAgeDays, longueur, complexité ou passphrase et post-authentication actions sont choisis selon support OS. Une valeur non supportée peut revenir à un défaut; je segmente les policies.

Critères de décision et options possibles

Pour Windows LAPS avec Intune, je commence par trois résultats concrets: Activer LAPS dans Entra si requis, Créer policy Account protection pilote et Choisir destination et compte. Ils doivent être observables avant de comparer les méthodes disponibles.

L’architecture cible suit Policy → Device → Directory → Operator. Chaque composant a un propriétaire clair, un état vérifiable et une méthode de retour arrière; cette répartition évite qu’une seconde politique masque le résultat de la première.

Le pilote contrôle notamment Activer LAPS dans Entra si requis, Créer policy Account protection pilote et Choisir destination et compte. La généralisation ne commence qu’après une période stable et après vérification des exceptions propres aux populations visées.

La recommandation devient mesurable lorsqu’elle relie le besoin à une cible vérifiable. Les résultats attendus sont Activer LAPS dans Entra si requis, Créer policy Account protection pilote et Choisir destination et compte. Les responsabilités se répartissent ainsi: Policy: CSP définit compte, durée et actions. Device: Génère, applique et fait tourner. Directory: Entra ou AD stocke le secret. Operator: RBAC, audit et usage justifié. Cette répartition permet d’attribuer chaque écart au bon propriétaire et d’éviter qu’un second profil, une ancienne autorité ou une exception silencieuse ne produise un résultat apparemment correct mais impossible à exploiter dans la durée.

Les écarts « Policy réussie, aucun secret », « Bouton grisé », « Lecture refusée » et « Rotation ne se fait pas » servent de tests de décision. Pour chacun, la preuve indiquée dans la matrice doit permettre de choisir entre correction, exception temporaire et retour arrière. Le pilote surveille également les points suivants: ne jamais copier mot de passe dans ticket, suppression device perd le credential, une seule destination et segmenter Automatic Account Management. La valeur cible, le mode de distribution, les contrôles et la sortie de secours sont ainsi évalués ensemble.

Architecture cible et répartition des responsabilités

BackupDirectory 1 cible Entra et 2 Active Directory; 0 désactive la sauvegarde et rend les autres réglages sans effet utile. Le type de jointure doit supporter la destination.

AdministratorAccountName n’est pas nécessaire pour le built-in account reconnu par RID. Pour un custom account manuel, LAPS ne le crée pas sur les anciennes versions et peut ne pas signaler clairement son absence.

PasswordAgeDays, longueur, complexité ou passphrase et post-authentication actions sont choisis selon support OS. Une valeur non supportée peut revenir à un défaut; je segmente les policies.

Prérequis, gouvernance et préparation

La préparation de Windows LAPS avec Intune couvre versions Windows LAPS supportées, Entra LAPS activé si nécessaire, destination compatible avec join, compte géré défini, RBAC lecture/rotation séparé. Le propriétaire de chaque composant et la population pilote sont définis avant la création de la configuration.

L’état initial est mesuré avec Activer LAPS dans Entra si requis. Créer policy Account protection pilote. Choisir destination et compte. Vérifier rotation et backup. Il servira de point de comparaison pendant le pilote et lors d’un éventuel retour arrière.

• versions Windows LAPS supportées
• Entra LAPS activé si nécessaire
• destination compatible avec join
• compte géré défini
• RBAC lecture/rotation séparé
• audit Entra accessible
• procédure support avec justification

Fonctionnement détaillé et frontières de responsabilité

BackupDirectory 1 cible Entra et 2 Active Directory; 0 désactive la sauvegarde et rend les autres réglages sans effet utile. Le type de jointure doit supporter la destination.

AdministratorAccountName n’est pas nécessaire pour le built-in account reconnu par RID. Pour un custom account manuel, LAPS ne le crée pas sur les anciennes versions et peut ne pas signaler clairement son absence.

PasswordAgeDays, longueur, complexité ou passphrase et post-authentication actions sont choisis selon support OS. Une valeur non supportée peut revenir à un défaut; je segmente les policies.

• versions Windows LAPS supportées
• Entra LAPS activé si nécessaire
• destination compatible avec join
• compte géré défini

Mise en œuvre, exploitation et cas limites

Automatic Account Management à partir de Windows 11 24H2 peut créer/gérer et randomiser le nom selon options. Je le pilote séparément des postes downlevel.

Lire le mot de passe exige une permission Entra de deviceLocalCredentials; la rotation Intune demande Remote tasks: Rotate Local Admin Password, non incluse par défaut dans les rôles built-in indiqués.

Supprimer l’objet Entra détruit aussi le credential LAPS associé. Avant nettoyage de doublons, je vérifie accès local, BitLocker, sauvegarde et procédure de récupération.

• Tester lecture avec rôle minimal
• Tester action post-authentification
• Contrôler audit et perte objet

Méthode de validation à l’échelle du parc

Pour windows laps avec intune, je constitue un échantillon qui couvre au minimum deux modèles matériels, plusieurs profils utilisateur, un site réseau contraint et les exceptions métier connues. Un résultat homogène sur des machines de laboratoire identiques ne démontre pas la robustesse de la configuration.

Les mesures portent sur Activer LAPS dans Entra si requis. Créer policy Account protection pilote. Choisir destination et compte. Vérifier rotation et backup. Elles sont définies avant le pilote de Windows LAPS avec Intune afin que les seuils ne soient pas déplacés après l’observation.

Les cas « Policy réussie, aucun secret », « Bouton grisé », « Lecture refusée », « Rotation ne se fait pas » servent de scénarios négatifs. Ils vérifient que l’échec reste visible, localisable et associé à une correction précise.

La généralisation de Windows LAPS avec Intune tient compte de ne jamais copier mot de passe dans ticket, suppression device perd le credential, une seule destination, segmenter Automatic Account Management. Chaque vague se ferme après lecture de ces points et validation du retour à l’état connu.

Configuration recommandée et déploiement par étapes

La méthode retenue pour Windows LAPS avec Intune se déploie par les étapes « Mesurer l’état initial », « Configurer le pilote », « Observer les indicateurs », « Décider la vague suivante ». Chaque passage produit un résultat vérifiable avant l’ouverture du suivant.

Paramètres, commandes et automatisation

Les commandes et valeurs de cette section servent à vérifier Activer LAPS dans Entra si requis. Créer policy Account protection pilote. Choisir destination et compte. Vérifier rotation et backup. Chaque exemple précise l’état attendu et les éléments à comparer dans le service.

Le contexte d’exécution, les permissions et les effets sur Policy, Device, Directory, Operator doivent rester explicites lorsque la configuration est automatisée.

# Collecte de diagnostic
$ErrorActionPreference = 'Stop'
try {
 Get-WinEvent -LogName 'Microsoft-Windows-LAPS/Operational' -MaxEvents 80 | Select-Object TimeCreated,Id,LevelDisplayName,Message
 Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Policies\LAPS' -ErrorAction SilentlyContinue | Select-Object BackupDirectory,PasswordAgeDays,PasswordLength,AdministratorAccountName
}
catch { Write-Error "Collecte LAPS impossible : $($_.Exception.Message)"; exit 1 }

Validation, indicateurs et critères GO / NO-GO

La décision repose sur Activer LAPS dans Entra si requis, Créer policy Account protection pilote, Choisir destination et compte et Vérifier rotation et backup. Ces indicateurs couvrent le résultat technique, l’état du service et l’effet réel sur la population pilote.

• Activer LAPS dans Entra si requis.
• Créer policy Account protection pilote.
• Choisir destination et compte.
• Vérifier rotation et backup.
• Tester lecture avec rôle minimal
• Tester action post-authentification
• Contrôler audit et perte objet

Exploitation, journaux et contrôle continu

La chronologie de Windows LAPS avec Intune relie Policy, Device, Directory, Operator. Les heures et identifiants communs indiquent si les informations décrivent la même tentative.

Les états sont lus à partir de Activer LAPS dans Entra si requis. Créer policy Account protection pilote. Choisir destination et compte. Vérifier rotation et backup. Cette séquence sépare une absence de configuration d’un traitement en attente ou d’un échec confirmé.

Les causes « Compte absent/destination incompatible », « Permission rotation absente », « Permission Entra absente », « Device disabled/offline » restent des hypothèses jusqu’à ce que la preuve indiquée dans la matrice les confirme.

• Activer LAPS dans Entra si requis.
• Créer policy Account protection pilote.
• Choisir destination et compte.
• Vérifier rotation et backup.
• Tester lecture avec rôle minimal
• Tester action post-authentification
• Contrôler audit et perte objet

Exceptions, erreurs connues et traitement

Les exceptions à prévoir pour Windows LAPS avec Intune apparaissent notamment sous la forme Policy réussie, aucun secret, Bouton grisé, Lecture refusée, Rotation ne se fait pas. La preuve associée indique s’il faut corriger la configuration ou conserver une exception documentée.

Coût de maintien des exceptions

Une exception à Windows LAPS avec Intune crée une charge récurrente: elle doit être identifiée, surveillée et réévaluée jusqu’à sa suppression. Sans propriétaire ni date de revue, cette charge finit par devenir une configuration parallèle difficile à tester.

Rollback, gestion du changement et points de vigilance

Le rollback de Windows LAPS avec Intune restaure explicitement l’affectation, la valeur ou l’autorité précédente. Les actions et points de vigilance ci-dessous précisent ce qui doit être contrôlé après ce retour.