LAPS Kurulumu: Windows LAPS ile Yerel Yönetici Parolası

LAPS kurulumu Windows Server 2025’te bir şey indirmeden dört adımda biter: Active Directory şemasını genişletmek, bilgisayarlara kendi parolalarını yazma izni vermek, bir GPO ile policy’yi açmak ve parolanın yazıldığını doğrulamak. Windows LAPS (Local Administrator Password Solution) her bilgisayarın yerel yönetici parolasını o makineye özel, rastgele ve süreli yapar, parolayı da şifreleyip bilgisayarın AD nesnesine yazar.

Microsoft’un önerdiği düzende parola şifreli durur ve okuma yetkisi makinenin önemine göre verilir. Her adımı lab domain’imiz ad.sistemkusu.com üzerinde, üye sunucu ca01 ve domain controller dc01 ile ölçtüm. Helpdesk’in parolayı nasıl okuyup kullandığını da Windows 11 istemci ankmuh01 üzerinde, iki lokasyonun helpdesk hesaplarıyla ayrı bir bölümde ölçtüm.

Serinin benzetmesiyle Active Directory bir otelin kart sistemidir ve domain controller ön bürodur. LAPS bu otelde oda kasalarının şifresidir. Kasalar fabrikadan aynı şifreyle gelirse bir odanın şifresini öğrenen her odanın kasasını açar. LAPS her oda kasasına ayrı ve rastgele bir şifre verir, şifreyi düzenli yeniler ve ön büronun şifre defterine mühürlü bir zarfın içinde yazar. Defteri okuyabilen zarfı görür, zarfı yalnız adı üstünde yazan açar.

LAPS, Active Directory güvenlik sıkılaştırması rehberinin parola adımıdır. Domain’in kendisi Active Directory kurulumu yazısında kuruldu. Bu düzeni kendi sunucularınızda kurmamızı isterseniz BT sistem yönetimi sayfasında nasıl çalıştığımızı anlattık.

LAPS Neden Var? Aynı Parola Her Makineye Yayılır

Yerel yönetici parolası tek bir makinede kalmaz, aynı parola bir sonraki makineye de geçer. Bunun iki kaynağı var:

1. Kurulum yönteminden gelen: aynı imajdan ya da aynı yanıt dosyasından kurulan her makine aynı parolayla açılır, çünkü yanıt dosyasındaki yönetici parolası tek bir değerdir ve her kuruluma aynen yazılır. Bunu ca01’i kurarken ölçtüm: ca01, dc01’in domain controller olmadan önceki snapshot’ından klonlandı. Klon ilk açıldığında yerel yönetici hesabı dc01’inkiyle aynı adı taşıyordu ve dc01’in parolasıyla oturum açtı.
2. İnsandan gelen: LAPS kurulmamış AD ortamlarında sistem yöneticilerinin her bilgisayara aynı sabit yerel yönetici parolasını verdiğini bizzat gördüm. Akılda tutulacak tek bir parola yöneticinin işini kolaylaştırır, ama bir makinenin sırrını bütün makinelerin sırrı yapar.

Sorun parolanın tahmin edilmesi değildir. Saldırgan bir makinede yönetici olunca o hesabın parola hash’ini bellekten okur ve aynı hash’i başka makinelerde parola yerine kullanır. Buna pass-the-hash denir. Hash her makinede aynıysa saldırgan bir kez girer, hepsinde yönetici olur. Microsoft’un Windows LAPS tanıtımı, LAPS’ın ilk faydası olarak bu saldırıya ve makineden makineye yatay harekete karşı korumayı sayar.

Örnekteki otelde bu, bütün oda kasalarının fabrikadan çıkan şifreyle kalmasıdır. Bir misafir kendi kasasının şifresini öğrendiğinde koridordaki her kasayı açar.

ca01’de sysprep sonrası kurulum ekranı yeni bir parola sordu ve ben elle yazdım. Parola 19:26:55’te yazıldı ve onu yalnız ben biliyordum. LAPS devraldıktan sonra aynı hesabın parolası 19:50:00’de 15 karakterlik rastgele bir diziye döndü. O diziyi kimse seçmedi, LAPS bunu bizim yerimize otomatik yaptı.

LAPS Nasıl Olmalı?

Her makinenin yerel yönetici parolası o makineye özel, rastgele ve süreli olur, Active Directory’de şifreli durur. Parolayı kimin okuyabileceği makinenin önemine göre OU başına verilir: domain’i yöneten bir sunucunun parolasını helpdesk personeli okuyamaz. Windows 11 24H2 ve Windows Server 2025’te yönetilen hesap da yerleşik Administrator değil, LAPS’ın kendi açtığı ayrı bir hesaptır. Yerleşik hesap kapalı durur.

Bu düzeni üç kaynak birlikte tarif ediyor:

1. Microsoft, Active Directory’ye yedeklenen LAPS parolalarının şifrelenmesini açıkça önerir. Parolayı okuma ve çözme yetkisinin en güvenli hâlinin yalnız Domain Admins olduğunu, izinlerin makinenin hassasiyetine göre katmanlanmasını söyler.
   Microsoft Learn, Windows LAPS architecture, Mayıs 2025.
2. Kâr amacı gütmeyen Center for Internet Security’nin (CIS) Windows Server 2025 kılavuzu parolanın en az 15 karakter ve en fazla 30 günlük olmasını, yönetici hesabı kullanıldıktan sonra en geç 8 saatte yenilenmesini ister.
   CIS Microsoft Windows Server 2025 Benchmark v1.0.0, kontrol metinleri ABD Gelir İdaresi’nin denetim dosyasından, Nisan 2025.
3. Microsoft, yönetilen hesabı LAPS’ın kendisinin açmasını, bunun yerleşik hesap değil ayrı bir hesap olmasını ve yerleşik Administrator’ın kullanılmadan kapalı tutulmasını önerir. Bu modun adı automatic account management ve yalnız Windows 11 24H2, Windows Server 2025 ve sonrasında var.
   Microsoft Learn, Windows LAPS account management modes, Mayıs 2025.

Üç yol yan yana durunca fark netleşir:

Tablonun son satırı karar sorusunu kapatıyor. Microsoft eski Microsoft LAPS’ı kullanımdan kaldırdı ve yeni Windows sürümleri onun kurulum paketini engeller, yani yeni bir kurulumda eski MSI’a dönmenin yolu yok.

Kaç Gün, Kaç Karakter?

Microsoft’un fabrika ayarı ile CIS’in istediği iki noktada ayrılıyor:

Lab’da GPO’nun Password Settings ayarını Enabled yaptığımda alanlar kendiliğinden 14 ve 30 ile doldu. Yani ayarı açmak CIS’i karşılamaz, uzunluğu elle 15’e çekmek gerekir.

Uzunluğun 15 olmasının ikinci bir dayanağı da var. ABD’nin standartlar kurumu NIST’in parola kılavuzu (Ağustos 2025), tek başına kullanılan parolalarda alt sınırı 15 karakter koyar. Aynı kılavuz karakter sınıfı kuralını yasaklar, CIS ise dört sınıfı ister. İkisi burada çatışmaz: NIST’in yasağı parolayı seçen insana konan kuralı hedefler, LAPS’ta parolayı makine üretir. Kesişim bu yüzden 15 karakter, 30 gün ve dört karakter sınıfıdır.

Parolayı Kim Okur, Kim Çözer?

LAPS parolasını görmek iki ayrı izin ister. Microsoft bunları iç içe üç halka olarak çizer:

1. Dış halka, son kullanma zamanı: parolanın ne zaman yenileneceğini okuyan ve değiştiren. Microsoft bu izni hassas ama yıkıcı olmayan sayar: bu izni ele geçiren biri ancak parolaları daha sık döndürtür.
2. Orta halka, okuma: şifreli parolayı bilgisayar nesnesinden okuyan. En güvenli hâli yalnız Domain Admins’tir.
3. İç halka, çözme: okunan şifreli parolayı açan. Bu kişi ya da grup parola yazılırken belirlenir ve sonradan değişmez. En güvenli hâli yine yalnız Domain Admins’tir.

Örnekteki otelde orta halka şifre defterini açabilmek, iç halka da defterdeki mühürlü zarfı açabilmektir. Defteri açan herkes zarfı görür, zarfı yalnız adı üstünde yazan açar.

Halkaların genişliği makineye göre değişir. Microsoft’un kendi örneği şöyle: helpdesk personeli ön cephedeki kullanıcı bilgisayarlarının parolasını okuyabilir, yöneticilerin dizüstü bilgisayarları daha sıkı tutulur. ca01 bir sertifika sunucusu olacak ve Microsoft’un AD DS tier modeli sertifika sunucularını domain controller’larla aynı katmana, Tier 0’a koyar. Bu yüzden ca01’in nesnesi Tier 0\Sunucular OU’sunda ve parolasını yalnız Domain Admins okur.

LAPS Kurulumu 1: Active Directory Şemasını Genişletmek

LAPS parolayı bilgisayarın AD nesnesine yazar. Bunun için şemada yeni öznitelikler gerekir ve onları Update-LapsADSchema ekler. İş forest başına bir kez yapılır ve arayüzü yoktur, yalnız komutla çalışır.

Ön koşullar:

1. Domain functional level en az 2016. Altındaysa parola yalnız düz metin saklanır ve DC’lerin DSRM parolası yönetilemez. Lab’da domain ve forest functional level 10, yani Windows Server 2025.
2. Komutu çalıştıracak hesap Schema Admins üyesi. Domain Admins yetmez, aşağıda ölçtüm.
3. Schema master geçerli. Rolü taşıyan DC yeniden başladıktan sonra en az bir eşiyle eşitlenmiş olmalı. Bu da aşağıda.

Önce şemada LAPS özniteliği var mı diye baktım. Windows Server 2025 ile kurulan bu forest’te şema sürümü 91 ve hiç msLAPS- özniteliği yoktu:

$s = (Get-ADRootDSE).schemaNamingContext
(Get-ADObject $s -Properties objectVersion).objectVersion
Get-ADObject -SearchBase $s -LDAPFilter "(lDAPDisplayName=msLAPS-*)"

91

Komut ve çıktısı:

Update-LapsADSchema -Verbose

Cmdlet her öznitelik için onay sorar, A (Yes to All) tek seferde geçirir. Lab’da 19:05’te bitti ve şunları yaptı:

1. Yedi öznitelik ekledi: msLAPS-PasswordExpirationTime, msLAPS-Password, msLAPS-EncryptedPassword, msLAPS-EncryptedPasswordHistory, msLAPS-EncryptedDSRMPassword, msLAPS-EncryptedDSRMPasswordHistory ve msLAPS-CurrentPasswordVersion.
2. computer sınıfına bağladı: çıktı önce “missing 7 out of 7 LAPS mayContains” yazdı, sonra yedisini sınıfın izin verilen öznitelik listesine ekledi.

Yedincisi bir sürpriz taşıyor. Microsoft’un LAPS mimarisi sayfası, msLAPS-CurrentPasswordVersion özniteliğinin ilk Windows Server 2025 DC’si yükseltilince kendiliğinden geldiğini ve Update-LapsADSchema’nın onu eklemediğini yazar. Bu forest’te tersi oldu: 2025 DC getirmedi, cmdlet ekledi. Bu öznitelik snapshot’a dönen makineyi yakalayan özelliğin dayanağı, aşağıda ölçtüm.

Insufficient Access Rights: Domain Admins Yetmez

İlk denemede komut Domain Admins üyesi ilker.pehlivan ile şu hatayla durdu:

Update-LapsADSchema : The user has insufficient access rights.

Şemayı yalnız Schema Admins grubu değiştirir ve bu grubun tek varsayılan üyesi forest kökünün yerleşik yönetici hesabıdır. Lab’da da öyleydi: grupta yalnız yerleşik hesap vardı. Microsoft bu grubun boş tutulmasını, şema işi gerektiğinde üye eklenip iş bitince çıkarılmasını önerir. Sıra şöyle:

1. Hesabı gruba ekleyin.
2. Oturumu kapatıp açın. Grup üyeliği oturum biletine yazılır, açık oturum yeni üyeliği görmez.
3. whoami /groups çıktısında Schema Admins satırını görün, sonra şemayı genişletin.
4. Hesabı gruptan çıkarın.

Add-ADGroupMember -Identity "Schema Admins" -Members ilker.pehlivan
# oturumu kapatip acin
whoami /groups | findstr /c:"Schema Admins"
Update-LapsADSchema -Verbose
Remove-ADGroupMember -Identity "Schema Admins" -Members ilker.pehlivan -Confirm:$false

Lab’da hesap 18:41’den 19:08’e kadar grupta kaldı, sonra çıkarıldı. Ardından Microsoft’un önerisine uyup yerleşik hesabı da gruptan çıkardım ve grup boş kaldı.

An Operation Error Occurred: Schema Master Eşini Bekliyor

İkinci denemede hesap Schema Admins biletiyle girmişti, ama komut bu kez başka bir hatayla durdu:

Update-LapsADSchema : An operation error occurred.

Mesaj sebebi söylemiyor. Sebep dc01’in Directory Service günlüğündeydi, olay 2092:

This server is the owner of the following FSMO role, but does not consider it valid.
For the partition which contains the FSMO, this server has not replicated successfully
with any of its partners since this server has been restarted.
...
FSMO Role: CN=Schema,CN=Configuration,DC=ad,DC=sistemkusu,DC=com
...
Schema: You will no longer be able to modify the schema for this forest.

dc01 birkaç dakika önce yeniden başlamıştı ve ikinci DC dc02 kapalıydı. Schema master rolünü taşıyan DC, açıldıktan sonra şema bölümünü en az bir eşiyle eşitlemeden rolü geçerli saymıyor. Tek DC’si olmayan her domain’de bu durum bir bakım gecesinde yaşanır.

Çözüm eşi açmak ve şema bölümünü eşitlemektir. dc02 açıldıktan sonra bile genel eşitleme komutu şema bölümünü düzeltmedi, repadmin /showrepl o bölümde 8524 hatası gösteriyordu. Bölümü adıyla eşitlemek yetti:

repadmin /replicate dc01 dc02 "CN=Schema,CN=Configuration,DC=ad,DC=sistemkusu,DC=com"

Sync from dc02 to dc01 completed successfully.

Üçüncü deneme hatasız bitti.

LAPS Kurulumu 2: Bilgisayara ve Okuyucuya İzin

Şema hazır, ama bilgisayar henüz kendi parolasını kendi nesnesine yazamaz. İzinler OU’ya verilir ve altındaki bilgisayarlara kalıtımla iner. Bu adımların da arayüzü yoktur.

Bilgisayarın Kendi Parolasını Yazma İzni

Set-LapsADComputerSelfPermission -Identity "OU=Sunucular,OU=Tier 0,DC=ad,DC=sistemkusu,DC=com"

Name      DistinguishedName
----      -----------------
Sunucular OU=Sunucular,OU=Tier 0,DC=ad,DC=sistemkusu,DC=com

Bu izin olmadan bilgisayar parolasını üretir ama AD’ye yazamaz. Parola geçmişi açıksa bilgisayarın kendi şifreli parolasını okuma izni de bu komutla gelir. Microsoft bir bilgisayara şifreli parolayı çözme izninin asla verilmemesini ister, kendi parolası için bile.

Gizli Öznitelikleri Kim Okuyabiliyor?

LAPS’ın bütün parola öznitelikleri gizli (confidential) işaretlidir. Bir OU üzerinde All Extended Rights izni taşıyan herkes gizli öznitelikleri okuyabilir, bu yüzden izin vermeden önce bu listeye bakılır:

Find-LapsADExtendedRights -Identity "OU=Sunucular,OU=Tier 0,DC=ad,DC=sistemkusu,DC=com"

ObjectDN             : OU=Sunucular,OU=Tier 0,DC=ad,DC=sistemkusu,DC=com
ExtendedRightHolders : {NT AUTHORITY\SYSTEM, SISTEMKUSU\Domain Admins, SISTEMKUSU\Enterprise Admins,
                       BUILTIN\Administrators}

Microsoft’un kurulum sayfasındaki örnek çıktıda yalnız SYSTEM ve Domain Admins var. Lab’da Enterprise Admins ve BUILTIN\Administrators da çıktı. Dördü de domain’i zaten yöneten gruplar, bu yüzden bir şey yapmadım. Listede bir helpdesk grubu ya da bir servis hesabı görürseniz o izin LAPS’tan önce kaldırılır.

Parolayı Okuma İzni

Domain Admins parolayı fabrika ayarında okur. Başka bir hesabın ya da grubun okuması için izin OU’ya verilir. Lab’da bu komutu yalnız bir ölçüm için, geçici bir test kullanıcısıyla çalıştırdım:

Set-LapsADReadPasswordPermission -Identity "OU=Sunucular,OU=Tier 0,DC=ad,DC=sistemkusu,DC=com" -AllowedPrincipals "SISTEMKUSU\laps.test"

Ölçüm bitince izni ve kullanıcıyı sildim, çünkü Tier 0\Sunucular’daki bir makinenin parolasını Domain Admins dışında kimse okumamalı. Ölçümün sonucu aşağıda: okuma izni parolayı görmeye yetmiyor.

LAPS GPO Ayarları

İzinler hazır. Şimdi bilgisayarlara LAPS’ı açmasını söyleyen policy yazılır. Active Directory’ye üye makinelerde bu iş Group Policy ile yapılır ve LAPS’ın ayarları her Windows Server 2025 kurulumunda gelen LAPS.admx şablonundadır.

Ön koşullar:

1. Hedef OU hazır: Tier 0\Sunucular, içinde ca01.
2. Central Store varsa şablon elle kopyalanır. Windows Update LAPS.admx’i Central Store’a kendiliğinden koymaz. Lab’da Central Store yok, düzenleyici şablonu yerel makineden okudu.
3. GPO’nun adı adlandırma kuralına uyar: PC_TIER0_LAPS. GPO yönetimi yazısındaki {PC|USER}_{KAPSAM}_{KISA AD} kalıbı.

Önce GPO bağlanmadan oluşturulur: Group Policy Management → Group Policy Objects → sağ tık New → ad PC_TIER0_LAPS. Sağ tık Edit ile düzenleyici açılır ve LAPS ayarları şu yoldadır:

Computer Configuration → Policies → Administrative Templates → System → LAPS

Burada on ayar var, hepsi fabrika ayarında Not configured. Lab’da altısını açtım:

1. Configure password backup directory: Enabled, Backup directory listesinde Active Directory. Bu ayar kapalıyken LAPS hiçbir şey yapmaz, öbür dokuz ayar yok sayılır.
2. Do not allow password expiration time longer than required by policy: Enabled. Not configured hâli de aynı davranır, ama CIS bu ayarın açıkça Enabled olmasını ister.
3. Password Settings: Enabled. Password Complexity büyük harf, küçük harf, rakam ve özel karakter. Password Length 15, Password Age (Days) 30. Passphrase Length yalnız parola cümlesi seçildiğinde kullanılır, 6 olarak kaldı.
4. Post-authentication actions: Enabled, Grace period (hours) 8, Actions “Reset the password and logoff the managed account”. Bu ayar LAPS parolasıyla oturum açıldıktan sonra ne olacağını söyler: 8 saat sonra parola değişir ve o hesabın açık oturumları kapatılır.
5. Enable password encryption: Enabled. Not configured hâli de açıktır, açıkça yazmak policy’yi okuyan için niyeti belli eder.
6. Configure size of encrypted password history: Enabled, 12. Şifreli modda son 12 parola saklanır. Snapshot’tan dönen bir sunucuda eski parolaya ihtiyaç duyulduğunda işe yarar. En fazla 12 olabilir.

Not configured bıraktığım dördü:

1. Configure authorized password decryptors: boş kaldığında şifreyi yalnız Domain Admins çözer. Tier 0 için doğru olan bu.
2. Name of administrator account to manage: boş kaldığında LAPS yerleşik yönetici hesabını adıyla değil RID’iyle (500) bulur. Windows Server kurulumunda yeniden adlandırılan hesap da bu yüzden kaybolmaz.
3. Enable password backup for DSRM accounts: yalnız domain controller’larda anlamlı, ayrı bir GPO ile aşağıda.
4. Configure automatic account management: Windows Server 2025 ve Windows 11 24H2 ile gelen, LAPS’ın kendi yerel hesabını açtığı mod. Microsoft’un önerdiği mod budur. Kurulumu önce her Windows sürümünde çalışan yoldan, yerleşik hesapla yaptım ve sonra bu moda geçtim. Ölçümü aşağıda kendi bölümünde.

Aynı policy’nin komut satırındaki karşılığı. Değerler GPO’nun kendisinden okundu:

$k = "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\LAPS"
New-GPO -Name "PC_TIER0_LAPS" | Out-Null
$ayarlar = [ordered]@{
  BackupDirectory = 2
  PasswordExpirationProtectionEnabled = 1
  PasswordComplexity = 4
  PasswordLength = 15
  PasswordAgeDays = 30
  PassphraseLength = 6
  PostAuthenticationResetDelay = 8
  PostAuthenticationActions = 3
  ADPasswordEncryptionEnabled = 1
  ADEncryptedPasswordHistorySize = 12
}
foreach ($a in $ayarlar.Keys) {
  Set-GPRegistryValue -Name "PC_TIER0_LAPS" -Key $k -ValueName $a -Type DWord -Value $ayarlar[$a] | Out-Null
}

GPO hazır olunca OU’ya bağlanır: Tier 0 üzerinde sağ tık Link an Existing GPO → PC_TIER0_LAPS.

New-GPLink -Name "PC_TIER0_LAPS" -Target "OU=Tier 0,DC=ad,DC=sistemkusu,DC=com"

GPO’yu bilgisayar nesnesi doğru OU’ya taşındıktan sonra bağlamak bir tuzağı önler. Microsoft’a göre LAPS her zaman açıktır ve policy geldiği anda parolayı değiştirir. Kurulum sırasında yerel yönetici hesabıyla otomatik oturum açan bir kurulum akışı, makine LAPS’lı bir OU’ya katılırsa bir sonraki yeniden başlatmada o parolayı bilemez. Microsoft’un önerisi LAPS policy’si almayan temiz bir ara OU’dur. Makine kurulum bitince kalıcı OU’suna taşınır. ca01’i bu yüzden önce domain’e aldım, kapatıp snapshot’ını aldım, GPO’yu sonra bağladım.

LAPS Çalıştı mı? İlk Parola ve Olay Kayıtları

GPO bağlandıktan sonra LAPS’ın ilk işi bilgisayarın açılışında görünür. GPO’yu 19:49’da bağladım ve ca01’i hemen açtım. 19:49:57’de dc01’den sorduğumda üç öznitelik de boştu:

Get-ADComputer ca01 -Properties msLAPS-PasswordExpirationTime,msLAPS-EncryptedPassword,msLAPS-CurrentPasswordVersion

19:52’de aynı sorgu dolu döndü: şifreli parola 1.293 bayt, son kullanma zamanı ve sürüm numarası yazılmıştı. Parolayı okumak için:

Get-LapsADPassword -Identity ca01 -AsPlainText

ComputerName        : ca01
DistinguishedName   : CN=ca01,OU=Sunucular,OU=Tier 0,DC=ad,DC=sistemkusu,DC=com
Account             : Administrator
Password            : 38#Nz+W&;s,8a7N
PasswordUpdateTime  : 8.10.2026 19:50:00
ExpirationTimestamp : 7.11.2026 19:50:00
Source              : EncryptedPassword
DecryptionStatus    : Success
AuthorizedDecryptor : SISTEMKUSU\Domain Admins

Satırlar sırayla şunu söylüyor:

1. Account : Administrator: GPO’da hesap adı boştu, LAPS yerleşik hesabı RID’inden buldu.
2. Password: 15 karakter, dört karakter sınıfı. Bu parola artık geçerli değil, aşağıdaki ölçümlerde birkaç kez döndü.
3. PasswordUpdateTime ve ExpirationTimestamp: aralarında tam 30 gün var.
4. Source : EncryptedPassword: parola şifreli saklanıyor. Şifreleme kapalı olsaydı burada düz metin parola özniteliği yazardı.
5. AuthorizedDecryptor : SISTEMKUSU\Domain Admins: zarfı açabilecek tek grup.

LAPS her adımı ca01’in kendi event log’una yazar: Event Viewer → Applications and Services Logs → Microsoft → Windows → LAPS → Operational. ca01’in o akşamki kaydı LAPS’ın iki farklı durumunu yan yana gösteriyor:

Microsoft’un doğrulama için gösterdiği olay 10018’dir. 10024 ise ilk bakılacak satırdır: makinede “disabled” yazıyorsa GPO ya ona ulaşmamıştır ya da backup directory açılmamıştır.

LAPS policy’yi saatte bir işler ve Group Policy değişiklik bildirimine de tepki verir. Beklemek istemezseniz makinede Invoke-LapsPolicyProcessing döngüyü hemen çalıştırır.

LAPS Parolasını Okumak ve Döndürmek

Parola AD’ye yazıldıktan sonra iki iş kalır: gerektiğinde okumak ve gerektiğinde zamanından önce döndürmek. İkisinin de arayüzü Active Directory Users and Computers (ADUC) içindedir: bilgisayar nesnesine çift tıklanır ve LAPS sekmesi açılır.

Sekmedeki alanlar:

1. Current LAPS password expiration: parolanın bir sonraki değişim zamanı. Lab’da “7 Kasım 2026 Cumartesi 19:50” yazıyordu, yani parolanın yazıldığı andan 30 gün sonrası.
2. Set new LAPS password expiration ve Expire now: son kullanma zamanını değiştirir. Expire now yalnız tarih kutusunu şimdiye çeker. Apply’a basılmadan AD’ye hiçbir şey yazılmaz.
3. LAPS local admin account name: yönetilen hesap, Administrator.
4. LAPS local admin account password, Copy password ve Show password: parola maskeli durur. Gösterme ve kopyalama düğmeleri parolayı yalnız şifreyi çözebilen kişiye verir.

Aynı iki işin komut satırındaki karşılığı:

Get-LapsADPassword -Identity ca01 -AsPlainText
Set-LapsADPasswordExpirationTime -Identity ca01

Expire Now: Parola Bir Sonraki Döngüde Döner

Lab’da 19:56:55’te Expire now ve Apply’a bastım. ca01’in parolası 19:59:51’de döndü. Event log nedeni açıkça yazdı:

19:59:51 10052 LAPS is processing the current policy per normal background scheduling.
19:59:51 10015 The managed account password needs to be updated due to one or more reasons (0x1):
               The current password has expired
19:59:51 10018 LAPS successfully updated Active Directory with the new password.
19:59:51 10020 LAPS successfully updated the local admin account with the new password.

Burada iki şeye dikkat:

1. Expire now parolayı o an değiştirmez. Yalnız son kullanma zamanını şimdiye çeker ve makine bunu bir sonraki LAPS döngüsünde fark eder.
2. Döngünün ne zaman geleceği belli değildir. Microsoft LAPS’ın arka plan görevinin saatte bir çalıştığını yazar. Lab’da ilk döngü LAPS yüklendikten tam 10 dakika sonra geldi ve bu kez beklemem üç dakikayı bulmadı.

Beklemek istemezseniz makinede Invoke-LapsPolicyProcessing döngüyü hemen çalıştırır.

Reset-LapsPassword: Parolayı Makinede Hemen Değiştirmek

Bir güvenlik olayından sonra beklemek istemezsiniz. Reset-LapsPassword makinenin kendisinde çalışır ve parolayı o an değiştirir. Komut yükseltilmiş bir oturum ister. Uzaktan çalıştırmak için Invoke-Command yeter:

Invoke-Command -ComputerName ca01.ad.sistemkusu.com -ScriptBlock { Reset-LapsPassword }

Lab’da dc01’den çalıştırdığımda AD’deki parolanın değişim zamanı 20:02:36’dan 20:08:12’ye geçti. Event log’da bu kez 10015 yerine başka bir olay vardı:

20:02:36 10014 LAPS is updating the managed account password due to an Administrator-initiated request.

Üç tetik üç farklı olay bıraktı: GPO bildirimi 10054, arka plan döngüsü 10052, yönetici isteği 10014. Bir parolanın neden değiştiğini sorduğunuzda event log cevabı verir.

Kullanım Sonrası: Parola Kendiliğinden Döner

Dördüncü bir tetik daha var ve onu kimse elle çekmez: parolanın kullanılması. Okunan bir parola artık başkasının da elinde olabilir. Ekrandan okundu, bir yere yapıştırıldı, bir not dosyasında kaldı. GPO’daki Post-authentication actions ayarı bu yüzden var: LAPS parolayla yapılan başarılı girişi fark eder ve bekleme süresi dolunca parolayı kendisi değiştirir.

Sekiz saati beklememek için ölçümü şu sırayla yaptım:

1. Bekleme süresini lab’da geçici olarak 1 saate indirdim.
2. 20:31:41’de dc01’den, ca01’in LAPS parolasıyla ca01’in C$ paylaşımına bağlandım.
3. ca01 aynı saniyede şu olayı yazdı:

20:31:41 10041 LAPS detected a successful authentication for the currently managed account.
               A background task has been scheduled to execute the configured
               post-authentication actions after the configured grace period has expired.

Tam bir saat sonra, 21:31:41’de zincirin gerisi geldi. 10085 olayının alanlarından yalnız üçünü bıraktım:

21:31:41 10018 LAPS successfully updated Active Directory with the new password.
21:31:41 10020 LAPS successfully updated the local admin account with the new password.
21:31:41 10044 LAPS successfully reset the password for the currently managed account
               after the expiration of the post-authentication grace period.
21:31:41 10077 LAPS found 0 interactive logon sessions using the managed account.
21:31:41 10084 LAPS found 1 file share sessions using the managed account.
21:31:41 10085 LAPS successfully deleted the following file share session.
               ClientUserName: ca01\Administrator
               SecondsIdle: 454
               SecondsExisted: 3600
21:31:41 10074 LAPS has successfully completed all configured post-authentication actions
               for the LAPS-managed account identity.

Çıktıdan üç şey okunur:

1. Parola iki yerde aynı saniyede değişti. AD’deki değişim zamanı 21:31:41 oldu. Yeni 30 günlük sayaç da oradan başladı ve son kullanma tarihi 7 Kasım 21:31:41’e kaydı.
2. Ağ üzerinden yapılan giriş de sayıldı. Eylem 3 (Reset the password and logoff the managed account) önce etkileşimli oturum aradı ve bulamadı (10077). Sonra dosya paylaşımı oturumunu buldu ve sildi. dc01’de net use bağlantıyı Disconnected gösterdi. Bağlantı tam 3600 saniye yaşamıştı.
3. Etkileşimli oturum olsaydı Microsoft’un policy ayarları sayfasına göre kullanıcıya değiştirilemeyen iki dakikalık bir uyarı gösterilir ve oturum sonra kapanırdı.

Örnekteki otelde bu, kasası bir kez açılan odanın şifresinin sekiz saat sonra kendiliğinden yenilenmesidir. Kasayı açan kişi şifreyi hatırlasa da artık işe yaramaz. Okunan parolanın ömrü böylece bir ayla değil, bekleme süresiyle sınırlanır. Lab’da süreyi ölçümden sonra yeniden 8 saate çektim.

Mühürlü Zarf: Okuma İzni Neden Yetmez?

Bir helpdesk grubuna okuma izni verdiniz, ama grup parolayı göremiyor. Bu bir arıza değil, LAPS’ın tasarımı. Parola iki ayrı kilidin arkasında durur.

Girişteki otel benzetmesiyle başlayalım. Örnekteki otelin ön bürosunda kasa şifrelerinin yazıldığı bir defter var. Defteri açmak için ön büro anahtarı gerekir. Defterdeki her şifre ayrıca mühürlü bir zarfın içindedir ve zarfın üstünde onu kimin açabileceği yazar.

Örnekteki oteldeki parçaların LAPS’taki karşılıkları şöyle:

1. Şifre defteri bilgisayarın AD nesnesidir. Defteri açmak, nesneden parola özniteliğini okuma iznidir (Set-LapsADReadPasswordPermission).
2. Mühürlü zarf şifreli paroladır. Parola bilgisayardan AD’ye gitmeden önce, bilgisayarın kendisinde şifrelenir.
3. Zarfın üstündeki ad şifreyi çözebilecek tek gruptur. Fabrika ayarında Domain Admins’tir, GPO’daki Configure authorized password decryptors ile değişir. Zarf mühürlendikten sonra ad değişmez.

Mekanizma şöyle işler:

1. Bilgisayar yeni bir parola üretir ve onu zarfın üstündeki grubun anahtarıyla şifreler. Microsoft’a göre şifreleme AES-256 ile yapılır.
2. Şifreli parola AD’ye yazılır. AD parolanın kendisini hiç görmez.
3. Okuyan kişi önce defteri açar: okuma izni yoksa hiçbir şey göremez.
4. Okuma izni varsa zarfı alır, ama açabilmesi için zarfın üstündeki grubun üyesi olması gerekir.

Bunu ca01 üzerinde ölçtüm. Domain Admins üyesi olmayan geçici bir test kullanıcısı açtım ve parolayı istettim:

1. Hiç izin yokken komut hiçbir şey döndürmedi, hata da vermedi.
2. Yalnız okuma izni verildiğinde kullanıcı zarfı gördü ama açamadı.

İkinci durumun çıktısı:

Account             :
Password            :
PasswordUpdateTime  : 8.10.2026 20:08:12
Source              : EncryptedPassword
DecryptionStatus    : Unauthorized
AuthorizedDecryptor : SISTEMKUSU\Domain Admins

Satırlar sırayla şunu söylüyor:

1. Password boş: zarf açılmadı.
2. PasswordUpdateTime dolu: kullanıcı defteri okuyabiliyor, parolanın ne zaman değiştiğini görüyor.
3. DecryptionStatus : Unauthorized: zarfın üstünde onun adı yok.
4. AuthorizedDecryptor: zarfı kimin açabileceği.

Test kullanıcısını ve verdiğim okuma iznini ölçümden hemen sonra sildim. İzin tek komutla verilmişti, ama OU’ya beş ayrı erişim kaydı yazmıştı.

Okuma iznini helpdesk grubuna verdiyseniz zarfın üstüne de onu yazmanız gerekir. Zarfa yalnız bir ad yazılabilir. Birden fazla grubun açabilmesi için Microsoft bu grupları içine alan tek bir grup önerir. Bir de bedeli var: zarfın üstündeki ad parola yazıldığı anda belirlenir. Çözebilen grubu değiştirirseniz eski parolalar eski adla mühürlü kalır, yeni ad bir sonraki dönüşte geçerli olur.

Domain Controller’da LAPS: DSRM Parolası

Domain controller’ın yerel yönetici hesabı yoktur. DC’de LAPS’ın yönettiği hesap DSRM hesabıdır: Directory Services Restore Mode, yani AD veritabanı çalışmazken DC’yi onarım modunda açan hesap. Bu parola Active Directory kurulumunda bir kez belirlenir ve çoğu kurumda yıllarca değişmez.

DC’ler kendi OU’larındadır, bu yüzden onlar için ayrı bir GPO gerekir. PC_DC_LAPS’ı komutla kurdum ve Domain Controllers OU’suna bağladım:

$k = "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\LAPS"
New-GPO -Name "PC_DC_LAPS" | Out-Null
$ayarlar = [ordered]@{
  BackupDirectory = 2
  PasswordComplexity = 4
  PasswordLength = 15
  PasswordAgeDays = 30
  ADPasswordEncryptionEnabled = 1
  ADEncryptedPasswordHistorySize = 12
  ADBackupDSRMPassword = 1
}
foreach ($a in $ayarlar.Keys) {
  Set-GPRegistryValue -Name "PC_DC_LAPS" -Key $k -ValueName $a -Type DWord -Value $ayarlar[$a] | Out-Null
}
New-GPLink -Name "PC_DC_LAPS" -Target "OU=Domain Controllers,DC=ad,DC=sistemkusu,DC=com"

Arayüzdeki karşılığı aynı LAPS düğümündeki Enable password backup for DSRM accounts ayarıdır. Bu ayar yalnız şifreleme açıkken çalışır ve DC’de şifreyi her zaman o domain’in Domain Admins grubu çözer.

gpupdate /target:computer /force sonrası dc01 parolayı hemen değiştirdi:

Account             : Administrator
PasswordUpdateTime  : 8.10.2026 20:25:43
ExpirationTimestamp : 7.11.2026 20:25:43
Source              : EncryptedDSRMPassword
DecryptionStatus    : Success
AuthorizedDecryptor : SISTEMKUSU\Domain Admins

Fark kaynak satırında: EncryptedDSRMPassword, yani AD’deki parola artık DSRM hesabına ait. Event log’da da üye sunucudakinden farklı bir satır vardı: “LAPS successfully updated the DSRM administrator account with the new password.” (10039).

Kurulumda belirlediğim DSRM parolası artık geçersiz. Bir DC’yi onarım modunda açmanız gerekirse parolayı önceden Get-LapsADPassword dc01 -AsPlainText ile alırsınız. Microsoft’a göre domain’de tek bir DC ayakta olduğu sürece her DC’nin DSRM parolası okunabilir. Bütün DC’ler kapalıysa parola yedekten okunur.

Kurcalama Koruması: Yönetilen Parola Elle Değişmez

LAPS bir hesabı yönetmeye başladığında o hesabın parolası elle değiştirilemez. Lab’da ca01’de iki yolla denedim. PowerShell şunu döndürdü:

Set-LocalUser : An unspecified error occurred: status = 3221266571

net user ile:

System error 8654 has occurred.

The account is controlled by external policy and cannot be modified.

İki hata aynı korumanın iki yüzü:

1. PowerShell’in kodu 3221266571, onaltılık tabanda 0xC000A08B. Adı STATUS_POLICY_CONTROLLED_ACCOUNT, ama mesaj bu adı söylemiyor.
2. net user’ın kodu 8654. Adı ERROR_POLICY_CONTROLLED_ACCOUNT ve mesaj sebebi açıkça söylüyor: hesabı dış bir policy yönetiyor.

LAPS her reddi event log’a yazar:

10031 LAPS blocked an external request that tried to modify the password of the current managed account.
      Account name: Administrator
      Account RID: 0x1F4

0x1F4 ondalık 500 eder, yani yerleşik yönetici hesabı. Helpdesk personeli “yerel yönetici parolasını değiştiremiyorum” diye geldiğinde önce bu iki koda bakılır. Parolanın değişmesi gerekiyorsa yol Reset-LapsPassword’dur.

Snapshot’a Dönen Sunucuda LAPS

Bir sanal makineyi eski bir snapshot’a döndürmek LAPS için tehlikeli bir an. AD’de son parola yazılıdır, ama makine geriye dönmüş ve eski parolayla açılmıştır. Microsoft buna “torn state”, yani yırtık durum der: AD’deki parola makinede geçmez, makinedeki parola AD’de yoktur. Windows Server 2025 bunu her LAPS döngüsünde bir sürüm numarasıyla yakalar. Parola her yazıldığında AD’ye ve makineye aynı rastgele numara da yazılır (msLAPS-CurrentPasswordVersion). İkisi tutmuyorsa parola hemen yenilenir.

Örnekteki otelde bu, bir odanın dünkü hâline döndürülmesidir. Oda kasası dünkü şifreyle açılıyor ama ön büronun defterinde bugünün şifresi yazıyor. Kasa defterdeki sürüm numarasıyla kendininkini karşılaştırır ve tutmuyorsa kendini yeniden şifreler.

Bunu ca01 üzerinde sırayla denedim:

1. 20:04: ca01’i kapatıp snapshot’ını aldım. Snapshot’taki parola 20:02:36’da yazılmıştı.
2. 20:08: makineyi açıp parolayı döndürdüm. AD’deki parola 20:08:12 oldu.
3. 20:16: makineyi snapshot’a döndürüp açtım. Makinede yine 20:02:36 parolası vardı, AD’de 20:08:12.
4. 20:27:01: LAPS kimse dokunmadan parolayı yeniledi.

Event log nedeni açıkça yazdı:

20:17:01 10000 The Local Administrator Password feature was successfully loaded and initialized.
20:27:01 10052 LAPS is processing the current policy per normal background scheduling.
20:27:01 10015 The managed account password needs to be updated due to one or more reasons (0x4000):
               The password version identifier stored in Active Directory does not match the locally stored version
20:27:01 10018 LAPS successfully updated Active Directory with the new password.
20:27:01 10020 LAPS successfully updated the local admin account with the new password.

Yırtık durum tam 10 dakika sürdü: LAPS 20:17:01’de yüklendi ve ilk arka plan döngüsü 20:27:01’de geldi. O 10 dakikada AD’den okunan parola makinede geçmezdi. Parola geçmişi bu boşluğu kapatır:

Get-LapsADPassword -Identity ca01 -IncludeHistory

PasswordUpdateTime    Source                     DecryptionStatus
------------------    ------                     ----------------
8.10.2026 20:27:01    EncryptedPassword          Success
8.10.2026 20:08:12    EncryptedPasswordHistory   Success
8.10.2026 20:02:36    EncryptedPasswordHistory   Success
8.10.2026 19:59:51    EncryptedPasswordHistory   Success
8.10.2026 19:50:00    EncryptedPasswordHistory   Success

Snapshot’taki 20:02:36 parolası listede duruyor. GPO’da geçmişi 12’ye açmamın sebebi buydu. Geçmiş kapalı olsaydı yırtık durumdaki makineye girmenin yolu, döngünün gelmesini beklemek olurdu.

Microsoft bu korumanın iki şartını yazar: makine Windows Server 2025 ya da Windows 11 24H2 olmalı ve makinenin domain’deki bilgisayar hesabı parolası hâlâ geçerli olmalı. Snapshot çok eskiyse bilgisayar hesabının kendi parolası da değişmiş olabilir. O zaman makine AD’ye hiç bağlanamaz ve LAPS döngüsü de çalışmaz. Bu durumda önce bilgisayar hesabı onarılır.

Automatic Account Management: LAPS Kendi Hesabını Açar

Buraya kadar LAPS yerleşik Administrator hesabını yönetti. Bu yol her Windows sürümünde çalışır, ama Microsoft’un önerdiği yol değildir. Microsoft yerleşik hesabın hiç kullanılmamasını ve kapalı durmasını, LAPS’ın ayrı bir hesap açıp onu yönetmesini önerir.

Modun adı automatic account management ve Microsoft’un belgesine göre yalnız Windows 11 24H2, Windows Server 2025 ve sonrasında çalışır. Ayarın kendi penceresi “At least Microsoft Windows 10 or later” yazıyor. Sürüm kararında pencereye değil belgeye bakın: karışık sürümlü bir ortamda Microsoft eski ve yeni sürümlere iki ayrı policy önerir.

Ayar aynı GPO’da, öbür LAPS ayarlarının yanındadır: Computer Configuration → Policies → Administrative Templates → System → LAPS → Configure automatic account management. Alanlar:

1. Enabled.
2. Specify the target account to manage: Manage a custom admin account. Öbür seçenek yerleşik hesabı bu modda yönetmektir, Microsoft’un önerisi yeni hesaptır.
3. Automatic account name (or name prefix): yerelyonetici. Boş kalırsa LAPS hesabı WLapsAdmin adıyla açar.
4. Enable the managed account: işaretli. Fabrika ayarında işaretsizdir ve LAPS hesabı kapalı açar. Kapalı hesap parola denemesinin hedefi olamaz, ama kullanılmadan önce policy ile açılması gerekir. Domain bağlantısı koptuğunda sunucuya girmenin yolu bu hesap olduğu için açık bıraktım.
5. Randomize the name of the managed account: işaretsiz. İşaretlenirse her parola değişiminde hesap adının sonuna rastgele bir sayı eklenir ve saldırgan adı önceden bilemez. Bedeli, helpdesk personelinin de adı her seferinde LAPS’tan okumasıdır.

Komut satırındaki karşılığı. Rastgele ad ayarı yazılmadığında fabrika ayarı olan 0 geçerlidir:

$k = "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\LAPS"
Set-GPRegistryValue -Name "PC_TIER0_LAPS" -Key $k -ValueName AutomaticAccountManagementEnabled -Type DWord -Value 1
Set-GPRegistryValue -Name "PC_TIER0_LAPS" -Key $k -ValueName AutomaticAccountManagementTarget -Type DWord -Value 1
Set-GPRegistryValue -Name "PC_TIER0_LAPS" -Key $k -ValueName AutomaticAccountManagementNameOrPrefix -Type String -Value "yerelyonetici"
Set-GPRegistryValue -Name "PC_TIER0_LAPS" -Key $k -ValueName AutomaticAccountManagementEnableAccount -Type DWord -Value 1

Moda Geçiş Yerleşik Hesabı Kapatmaz

21:42:19’da ca01’de gpupdate çalıştırdım. LAPS aynı döngüde hesabı açtı, parolasını yazdı ve AD’ye yedekledi. Ayrı bir “hesap açıldı” olayı yok, neden 10015’te yazılı:

21:42:19 10054 LAPS is processing the current policy in response to a Group Policy change notification.
21:42:19 10015 The managed account password needs to be updated due to one or more reasons (0x3000):
               Local state is missing and/or inconsistent with directory state
               One or more account management policy settings have changed
21:42:19 10018 LAPS successfully updated Active Directory with the new password.
21:42:19 10020 LAPS successfully updated the local admin account with the new password.

Get-LapsADPassword ca01 artık yönetilen hesap olarak yerelyonetici’yi gösteriyordu. Yerel hesap listesinde ise bir sürpriz vardı. Listeden iki satırı bıraktım:

Name          Enabled PasswordLastSet    Description
----          ------- ---------------    -----------
Administrator    True 8.10.2026 21:31:41 Built-in account for administering the computer/domain
yerelyonetici    True 8.10.2026 21:42:19 This account is currently being automatically managed by your corporate administrator.

yerelyonetici açık, Administrators grubunda ve açıklamasını LAPS yazmış. Yerleşik Administrator da hâlâ açık. Parolası 21:31:41’deki son LAPS parolası ve artık hiç dönmeyecek. AD’deki güncel kayıt yeni hesaba geçtiği için o parola yalnız geçmiş listesinde kalır. Yani moda geçiş eski hesabı kapatmaz, onu yönetimsiz ve açık bırakır.

Kapatmak ayrı bir ayardır ve aynı GPO’ya yazdım: Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options → Accounts: Administrator account status. Define this policy setting işaretli, seçim Disabled. Bu ayar kayıt defteri tabanlı değildir, GPO’nun GptTmpl.inf dosyasına EnableAdminAccount = 0 olarak yazılır. Bu yüzden Set-GPRegistryValue ile kurulamaz. 21:46:44’teki gpupdate’ten sonra:

Name          Enabled PasswordLastSet    SID
----          ------- ---------------    ---
Administrator   False 8.10.2026 21:31:41 S-1-5-21-3445149202-2129882754-1620872738-500
yerelyonetici    True 8.10.2026 21:42:19 S-1-5-21-3445149202-2129882754-1620872738-1000

SID’in son parçası hesabın RID’idir: yerleşik hesap her makinede 500, LAPS’ın açtığı hesap bu makinenin ilk yerel hesabı olarak 1000 aldı.

Örnekteki otelde bu, kasanın üreticiden gelen yönetici kodunun kapatılması ve yerine otelin kendi tanımladığı bir kodun açılmasıdır. Üreticinin kodu her kasada aynı yerde durur, otelin kodunun adını otel koyar.

Automatic Modda Kurcalama Koruması Genişler

Yerleşik hesapta LAPS yalnız parolayı korumuştu. Automatic modda hesabın tamamını korur. ca01’de iki deneme yaptım:

1. Rename-LocalUser yerelyonetici -NewName deneme: status = 3221266571 döndü, yani yine 0xC000A08B. Olay 10101: “LAPS blocked an external request that attempted to modify the current automatically managed account.”
2. Remove-LocalGroupMember Administrators yerelyonetici: aynı hata. Olay 10103: “LAPS blocked an external request that attempted to modify the security descriptor of the current automatically managed account.”

Microsoft’un belgesi bu ailede dört olay sayar (10101-10104). Belgedeki sıraya göre gruptan çıkarma denemesinin 10104 olması beklenirdi, ama lab’da 10103 geldi. Olay numarasına göre filtre yazacaksanız aralığın tamamını izleyin. Belgeye göre Restricted Groups ve Local Users and Groups policy’leri de bu hesabı Administrators grubundan çıkaramaz. Automatic mod böylece iki ayarlık bir iştir: hesabı LAPS açar, yerleşik hesabı siz kapatırsınız. Biri eksik kalırsa ya kullanılamayan bir hesap ya da yönetilmeyen bir hesap kalır.

LAPS’ta Helpdesk: Her Lokasyon Kendi Bilgisayarlarını Okur

Buraya kadar parolayı yalnız Domain Admins okudu, çünkü ca01 bir Tier 0 sunucusu. Kullanıcı bilgisayarlarında yerel yönetici parolasına en sık ihtiyaç duyan kişi ise helpdesk personelidir ve Microsoft’un kendi örneği de bu bilgisayarları helpdesk’e açar. Bu düzeni iki lokasyonlu bir kurumla kurdum ve dört hesapla ölçtüm.

Senaryodaki kurumun Ankara ve İzmir’de birer ofisi ve bir Genel Müdürlüğü var. Ankara helpdesk’i yalnız Ankara’daki bilgisayarların, İzmir helpdesk’i yalnız İzmir’dekilerin parolasını okur. Genel Müdürlük BT ekibi iki lokasyonun parolasını da okur. Ölçümü Ankara muhasebedeki ilk bilgisayar olan ankmuh01 üzerinde yaptım. Makine Windows 11 ve Tier 2\Bilgisayarlar\Ankara OU’sunda duruyor.

LAPS İzni Lokasyonun Domain Local Grubuna Verilir

Ankara’nın parolasını iki ayrı grup çözecekse GPO’ya çözebilen grup olarak ikisini içine alan tek bir grup yazılır, çünkü okuma ile çözmeyi ayıran bölümde gördüğümüz gibi GPO yalnız bir ad kabul eder. Kapsayıcı grubu kurmanın yerleşik yolu AGDLP’dir. Bu modelde kişi global gruba, global grup domain local gruba üye olur ve izin domain local gruba verilir.

Modelin kendisini kullanıcı, grup ve OU yönetimi yazımızda anlattık. Lab’daki gruplar ve kimin hangi parolayı çözdüğü:

İzinler OU’lara verilir. Bilgisayarın kendi parolasını yazma izni üst OU’ya bir kez verilir ve iki lokasyona kalıtımla iner. Okuma ve son kullanma zamanını değiştirme izni ise her lokasyonun kendi grubunadır:

Set-LapsADComputerSelfPermission -Identity "OU=Bilgisayarlar,OU=Tier 2,DC=ad,DC=sistemkusu,DC=com"
Set-LapsADReadPasswordPermission -Identity "OU=Ankara,OU=Bilgisayarlar,OU=Tier 2,DC=ad,DC=sistemkusu,DC=com" -AllowedPrincipals "SISTEMKUSU\DL_ANK_LAPS_R"
Set-LapsADResetPasswordPermission -Identity "OU=Ankara,OU=Bilgisayarlar,OU=Tier 2,DC=ad,DC=sistemkusu,DC=com" -AllowedPrincipals "SISTEMKUSU\DL_ANK_LAPS_R"

İzmir için son iki komut İzmir OU’su ve DL_IZM_LAPS_R ile tekrarlanır. Son kullanma zamanını değiştirme izni, helpdesk’in ADUC’taki Expire now düğmesini kullanabilmesi içindir.

Çözebilen grup lokasyonun GPO’sunda yazar. PC_ANK_LAPS ve PC_IZM_LAPS, PC_TIER0_LAPS ile aynı parola ayarlarını taşır, iki farkla:

1. Configure authorized password decryptors alanında lokasyonun domain local grubu durur.
2. Automatic account management açıktır ve yönetilen hesabın adı yine yerelyonetici’dir. Windows 11’de yerleşik Administrator fabrika ayarında kapalı geldiği için ca01’deki kapatma ayarına burada gerek kalmadı.

Çözebilen grubun komut karşılığı:

$k = "HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\LAPS"
Set-GPRegistryValue -Name "PC_ANK_LAPS" -Key $k -ValueName ADPasswordEncryptionPrincipal -Type String -Value "SISTEMKUSU\DL_ANK_LAPS_R"

Örnekteki otelde zarfın üstüne bir kişinin değil bir görevin adı yazılır. Helpdesk’e biri katılınca ya da ayrılınca zarfa dokunulmaz, yalnız görevin listesi değişir. Microsoft’un tek bir kapsayıcı grup önermesinin sebebi bu.

ankmuh01’in parolası şu sırayla yazıldı ve okundu:

1. ankmuh01 17:12’de domain’e katıldı.
2. LAPS 17:18’de makinede yerelyonetici hesabını açtı ve parolasını üretti.
3. LAPS parolayı Ankara’nın grubu için şifreleyip AD’ye yazdı.
4. Domain Admins üyesi ilker.pehlivan aynı kaydı dc01’den okudu, ama parolayı çözemedi.

Dördüncü adımın çıktısından ilgili satırlar:

Account             :
Password            :
...
DecryptionStatus    : Unauthorized
AuthorizedDecryptor : SISTEMKUSU\DL_ANK_LAPS_R

Son satır sonucu söylüyor: parolayı çözebilen grup artık Domain Admins değil, Ankara’nın grubu.

Bu ayrım bir duvar değil. Domain Admin GPO’yu değiştirip kendi grubunu çözebilen grup yapabilir, ama bu da ancak bir sonraki parolada geçerli olur. Asıl kazanç gündelik işte: Tier modelinde kullanıcı bilgisayarları helpdesk’in katmanıdır ve domain’i yöneten hesap orada iş yapmaz. LAPS bu ayrımı parolanın kendisine taşıyor.

Helpdesk LAPS Parolasını RSAT Olmadan Okur

ayse.demir standart bir kullanıcı: ankmuh01’de yönetici değil ve makinede RSAT kurulu değil. Lab’da tek istemci olduğu için okumayı ankmuh01’in kendisinde yaptım. Parola makineden değil AD’den okunduğu için helpdesk aynı komutu kendi bilgisayarında çalıştırır. Önce oturumun token’ına baktım:

whoami /groups | Select-String "ANK|IZM|GM_|LAPS"

SISTEMKUSU\GG_ANK_IT                       Group            S-1-5-21-1987702239-187056940-2301540660-1108 Mandatory group, Enabled by default, Enabled group
SISTEMKUSU\DL_ANK_LAPS_R                   Alias            S-1-5-21-1987702239-187056940-2301540660-1111 Mandatory group, Enabled by default, Enabled group, Local Group

Domain local grup token’da Alias türüyle duruyor. GPO’daki çözebilen grup bu satır olduğu için çözme izni de buradan geliyor.

LAPS PowerShell modülü Windows’la geliyor. Get-Module -ListAvailable LAPS, RSAT kurulmamış makinede modülü sürüm 1.0.0.0 ve C:\Windows\system32\WindowsPowerShell\v1.0\Modules\LAPS yoluyla buldu. Okuma komutu yönetici yetkisi de istemedi:

Get-LapsADPassword -Identity ankmuh01 | Format-List

ComputerName        : ankmuh01
DistinguishedName   : CN=ankmuh01,OU=Ankara,OU=Bilgisayarlar,OU=Tier 2,DC=ad,DC=sistemkusu,DC=com
Account             : yerelyonetici
Password            : System.Security.SecureString
PasswordUpdateTime  : 9.10.2026 17:18:47
ExpirationTimestamp : 8.11.2026 17:18:47
Source              : EncryptedPassword
DecryptionStatus    : Success
AuthorizedDecryptor : SISTEMKUSU\DL_ANK_LAPS_R

Aynı kaydı Domain Admin çözemedi, standart kullanıcı olan helpdesk personeli çözdü. LAPS’ta parolayı rütbe değil, çözebilen grubun üyeliği açıyor. Çıktı parolanın kendisini göstermiyor, onu korumalı bir nesne olarak tutuyor. Komuta -AsPlainText eklenirse parola düz metin olarak ekrana basılır ve ekranda kalan parolayı omuz üstünden bakan da okur. LAPS’ın buna cevabı parolayı saklamak değil, kullanıldıktan sonra değiştirmektir: aşağıda kullanılan parolanın sayacı ölçüldü.

Yetkisiz Okuma Hata Vermez: İzmir, Tier 0 ve Domain Admin

Aynı komutu dört hesapla çalıştırdım ve sonuçlar üç ayrı biçimde geldi:

selin.aydin’in sonucunda da çözebilen grup DL_ANK_LAPS_R çıktı. Genel Müdürlük parolayı kendi grubuyla değil, Ankara’nın grubunun üyesi olarak çözüyor.

mert.kaya’nın denemesinden sonra $Error.Count 0’dı, yani komut başarılı sayıldı. Okuma izni olmayan kişiye LAPS “izin yok” demiyor, “kayıt yok” gibi boş dönüyor. Bir helpdesk personeli “bu makinenin LAPS kaydı yok” dediğinde önce makinenin hangi lokasyonun OU’sunda olduğuna bakılır.

ADUC’ta aynı ayrım başka bir yüzle görünüyor. mert.kaya, ankmuh01’in LAPS sekmesini açtığında hata mesajı görmedi:

Son kullanma zamanı, Microsoft’un çizdiği üç halkanın en dıştakidir ve lab’da LAPS izni olmayan bir domain kullanıcısına da açıktı. Parolanın ne zaman değişeceğini bilmek parolayı vermez. Sekmede Expire now de etkin göründü, ama mert.kaya ile ona basmadım. Sekme Advanced Features açılmadan da görünüyor.

LAPS Parolasıyla Yönetici İşi: UAC Yapıştırmayı Kabul Etmez

Helpdesk’in parolayı okumasının sebebi o makinede yönetici olarak bir iş yapmaktır. Lab’daki iş, ADUC’taki LAPS sekmesi için gereken RSAT’ı kurmaktı ve standart kullanıcı bunu Settings ekranından yapamadı:

Yönetici yetkisi LAPS’ın yönettiği hesaptan gelir. İlk denemem şöyle ilerledi:

1. Yükseltilmiş bir PowerShell istedim.
2. UAC penceresinin kullanıcı adı alanına ankmuh01\yerelyonetici yazdım.
3. Parolayı panodan yapıştırmayı denedim. Ctrl+V de Shift+Insert de parola alanını boş bıraktı.
4. Aynı panoyu normal bir PowerShell penceresine yapıştırdım ve parola geldi.

Boş kalan alan bir arıza değil. Microsoft’un destek makalesine göre UAC penceresi ayrı bir güvenli masaüstünde (secure desktop) açılır ve o masaüstünden panoya erişim bilerek kapatılmıştır. Amaç, kilit ekranının önündeki birinin panodaki bilgiyi okuyamamasıdır. Makale bir şey daha söyler: parolayı panoya kopyalamak korumayı zaten boşa çıkarır, çünkü panodaki parolayı masaüstündeki her program düz metin olarak okuyabilir.

Geriye parolayı okuyup UAC’ye elle yazmak kalıyor. Sahadaki yol da budur: helpdesk parolayı LAPS sekmesinde Show password ile okur ve kullanıcının makinesindeki UAC penceresine tuş tuş yazar. Lab’da ayse.demir oturumunda PowerShell’e sağ tıklayıp Run as administrator dedim ve UAC penceresini şöyle doldurdum:

1. User name: ankmuh01\yerelyonetici. Öndeki makine adı, hesabın domain’de değil bu makinede aranacağını söyler. Pencere bunu altına Domain: ANKMUH01 diye yazar.
2. Password: LAPS sekmesinde okunan parola, klavyeden.

Yes ile açılan pencerede kimliğe baktım:

ankmuh01\yerelyonetici
ankmuh01

Mandatory Label\High Mandatory Level                           Label            S-1-16-12288

Pencere LAPS’ın yönettiği hesapla ve yükseltilmiş seviyede (High Mandatory Level) açıldı. Bu yetkiyle RSAT’ın AD araçlarını kurdum:

Add-WindowsCapability -Online -Name "Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0"

Kurulum Windows Update’ten 262.804.880 bayt, yani yaklaşık 251 MB indirdi ve 50 dakika sürdü. RSAT’ın öbür bileşenlerini ve sunucuya kurulumu RSAT kurulumu yazımızda anlattık.

LAPS parolanın kullanıldığını da fark eder. ankmuh01’in LAPS event log’unda, parolanın o günkü ilk kullanımı şu olayı yazdı:

TimeCreated : 9.10.2026 17:56:35
Id          : 10041
Message     : LAPS detected a successful authentication for the currently managed account. A background task has been scheduled to execute the configured post-authentication actions after the configured grace period has expired.

              Account name: yerelyonetici
              Account RID: 0x3EA
              Password reset timer deadline:  2026-10-09T22:56:35.4631728Z

Sayacın bitişi UTC olarak yazılı: 22:56:35, yani Türkiye saatiyle 01:56:35. GPO’daki 8 saatlik süre dolunca parola değişir ve helpdesk’in kullandığı parola o gece geçersiz olur. Zincirin sonunu ca01’de kullanım sonrası bölümünde ölçtüm.

Akşam aynı parolayı UAC’ye elle yazdığımda yeni bir 10041 düşmedi: ilk kullanımın sayacı hâlâ işliyordu. Sayaç beklerken ikinci kullanımın sayacı yenileyip yenilemediğini ayrıca ölçmedim. Olay hesabın adını ve sayacı yazıyor, parolayı kimin kullandığını yazmıyor. Elle yazılan girişin izi Security event log’undaydı: aynı saniyede consent.exe üzerinden 4648 (açıkça verilen credential’la giriş) ve 4624 olayları düştü.

Uzaktan Destekte LAPS Parolası

Helpdesk çoğu zaman kullanıcının başında değildir, makineye uzaktan bağlanır. UAC penceresi güvenli masaüstünde açıldığı için uzaktan destek araçları burada iki gruba ayrılır. Bu bölümü lab’da ölçmedim, üreticilerin belgelerinden aktarıyorum:

1. Kurulmadan çalışan araçlar UAC penceresini göremez. Microsoft’un Quick Assist sayfasına göre bazı durumlarda UAC’ye karşıdaki kullanıcının cevap vermesi gerekir. Taşınabilir sürümle çalışan araçlarda bağlanan kişinin ekranı UAC anında kararır. Kullanıcı standart hesapla çalışıyorsa elinde yönetici parolası da yoktur.
2. Bilgisayara servis olarak kurulu araçlar güvenli masaüstünü görür ve teknisyen parolayı UAC’ye kendisi yazar. Bazıları yerel yönetici adını ve parolasını bağlanırken kendi penceresinde ister.
3. Microsoft’un kurumsal aracı Intune Remote Help, teknisyenin UAC’ye credential (kimlik bilgisi) girmesine izin verir. Bu yetkiyi kimin kullanabileceği role göre sınırlanır ve oturumlar kayda geçer. Microsoft, kurum içi destekte Quick Assist yerine bunu önerir.
4. Ayrıcalıklı erişim yönetimi araçları parolayı kendi password vault’undan alıp UAC’ye kendisi yerleştirir, teknisyen parolayı hiç görmez.

Hangi araç olursa olsun parola ya elle yazılır ya da bir araç onu yerleştirir, panodan yapıştırılmaz. Bir de kaçınılacak yol var: parolayı telefonda kullanıcıya söylemek. Kullanıcı o makinede yönetici olur. Kullanım sonrası eylemi bu süreyi lab’daki ayarla sekiz saate indirir, ama ortadan kaldırmaz.

LAPS Sorun Giderme: Belirtiden Sebebe

Lab’da karşılaştığım hata mesajlarının ve olayların neredeyse hiçbiri sebebini kendisi söylemedi. Tablo belirtiden başlıyor:

Son satırı ölçmedim, Microsoft’un policy ayarları sayfasından aktarıyorum: uzunluk ya da karmaşıklık makinenin parola kuralını karşılamazsa LAPS yeni parola üretemez ve 10027 yazar.

Doğrulama: LAPS Kurulumu Çalışıyor mu?

Kurulumun bittiğini şu sırayla doğrularım. Her madde bu yazıda ölçtüğüm bir şeye karşılık geliyor:

1. Şema: Get-ADObject -SearchBase (Get-ADRootDSE).schemaNamingContext -LDAPFilter "(lDAPDisplayName=msLAPS-*)" yedi öznitelik döndürür.
2. Schema Admins boş: Get-ADGroupMember "Schema Admins" hiçbir şey döndürmez.
3. İzin: Find-LapsADExtendedRights listesinde yalnız domain’i yöneten gruplar vardır.
4. Policy makinede: makinenin LAPS event log’unda 10021 doğru değerleri sayar ve 10024 (“disabled”) yoktur.
5. İlk parola: olay 10018 düşmüştür ve Get-LapsADPassword Source : EncryptedPassword, DecryptionStatus : Success döndürür.
6. Okuma ve çözme: yetkisiz bir hesap DecryptionStatus : Unauthorized alır.
7. Döndürme: Reset-LapsPassword sonrası PasswordUpdateTime değişir ve olay 10014 düşer.
8. DC’ler: Get-LapsADPassword dc01 Source : EncryptedDSRMPassword döndürür.
9. Automatic mod: Get-LapsADPassword yönetilen hesabın adını döndürür, Get-LocalUser’da o hesap açık ve RID’i 500 olan yerleşik hesap kapalıdır.
10. Lokasyon ayrımı: lokasyonun helpdesk hesabı kendi bilgisayarı için DecryptionStatus : Success alır, öbür lokasyonun helpdesk hesabı aynı bilgisayar için boş sonuç alır.

Sonuç: LAPS Kurulumu Dört Komut, Asıl İş İzin Katmanları

LAPS’ın kendisi beklenenden kolay: şema bir komut, bilgisayar izni bir komut, policy altı ayar. Asıl karar parolayı kimin görebileceğidir ve onu OU yapısı belirler. Lab’da beklenenden farklı çıkan şeyler:

1. Windows Server 2025 forest’inde şema LAPS’sız geldi. Microsoft’un “2025 DC ile gelir” dediği öznitelik dahil, yedisini de Update-LapsADSchema ekledi.
2. Domain Admins şemayı genişletemedi. Schema Admins’e geçici üyelik ve yeni bir oturum gerekti.
3. Tek DC açıkken şema değişmedi. Hata mesajı sebebi söylemedi, olay 2092 söyledi.
4. Backup directory listesi Azure Active Directory ile açıldı. Bakmadan OK’e basan, parolayı AD’ye hiç yazmayan bir policy kurar.
5. İzinsiz okuma sessiz döndü. Hata yok, sonuç yok.
6. -Credential çözmeyi başka hesapla yapmadı. Okuma test kullanıcısıyla, çözme oturumdaki yöneticiyle yürüdü.
7. Snapshot’a dönen sunucu 10 dakikada kendini düzeltti. Arada geçen sürede doğru parola yalnız geçmişteydi.
8. Automatic moda geçiş yerleşik hesabı açık bıraktı. Yeni hesap açıldı, eskisinin son parolası dönmeyi bıraktı ve hesabı ayrı bir ayar kapattı.
9. Domain Admin kullanıcı bilgisayarının parolasını çözemedi, standart kullanıcı olan helpdesk personeli çözdü. Çözebilen grup lokasyon grubuydu ve RSAT’a da yönetici yetkisine de gerek olmadı.
10. Parola UAC penceresine yapıştırılamadı. Güvenli masaüstü panoya erişmiyor. Parola Show password ile okunup elle yazıldı ve pencere yükseltilmiş açıldı.

Girişteki otel benzetmesine son kez dönelim: her oda kasasının şifresi artık ayrı, kasa onu kendisi düzenli yeniliyor ve ön büronun şifre defterine mühürlü bir zarfta yazıyor. Şifre defteri bilgisayarın AD nesnesi, mühürlü zarf şifreli parola, zarfın üstündeki ad da çözme yetkisi. LAPS’ın adımları Active Directory güvenlik sıkılaştırması rehberinin bir parçası. Sıradaki adım, bu parolaları kimin hangi makinede kullanabileceğini belirleyen Tier modeli.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn