Che cos'è Windows LAPS?

La soluzione password dell'amministratore locale di Windows (Windows LAPS) è una funzionalità di Windows che gestisce ed esegue automaticamente il backup della password di un account amministratore locale sui dispositivi aggiunti a Microsoft Entra o a Windows Server Active Directory. Puoi anche usare Windows LAPS per gestire e fare il backup della password dell'account Directory Services Restore Mode (DSRM) sui tuoi controller di dominio Windows Server Active Directory.

Gli account amministratori locali spesso condividono la stessa password su molti dispositivi, che i malintenzionati possono sfruttare per muoversi lateralmente nell'ambiente. Windows LAPS ti aiuta a colmare questa lacuna ruotando regolarmente la password locale degli amministratori di ogni dispositivo, memorizzandola in modo sicuro e permettendo agli amministratori autorizzati di recuperarla per accedere o recuperare un dispositivo.

Questo articolo presenta le piattaforme supportate da Windows LAPS, i suoi scenari chiave e i vantaggi, e come si differenzia dal prodotto legacy Microsoft LAPS, così da poter decidere come utilizzare Windows LAPS nel tuo ambiente.

Piattaforme con supporto per Windows LAPS

Windows LAPS è disponibile nelle piattaforme del sistema operativo seguenti:

Client Windows

Windows 10 ha raggiunto la fine del supporto il 14 ottobre 2025. Windows LAPS rimane disponibile solo sui dispositivi Windows 10 che continuano a ricevere aggiornamenti, come tramite il programma Extended Security Updates (ESU). Per la manutenzione supportata di Windows 10 e le date del ciclo di vita, consulta le FAQ sul ciclo di vita di Windows. Per le nuove implementazioni, usa Windows 11 o una versione supportata di Windows Server.

Le impostazioni di Gestione automatica dell'account nel Configuration Service Provider (CSP) di Windows LAPS richiedono Windows 11, versione 24H2 o successiva, oppure Windows Server 2025 o versione successiva.

Windows Server

Windows LAPS è disponibile in tutte le edizioni supportate di queste piattaforme, incluse le edizioni del canale di manutenzione a lungo termine (LTSC). L'introduzione della funzione Windows LAPS non modifica le politiche standard del ciclo di vita dei prodotti Microsoft.

Windows LAPS e Microsoft Entra ID

Windows LAPS con Microsoft Entra ID e supporto di Microsoft Intune è disponibile a livello generale a partire dal 23 ottobre 2023. Per altre informazioni, vedere Soluzione password amministratore locale di Windows con l'ID Microsoft Entra ora disponibile a livello generale! e soluzione password amministratore locale di Windows in Microsoft Entra ID.

Vantaggi dell'uso di Windows LAPS

Usare Windows LAPS per ruotare e gestire regolarmente le password degli account amministratore locali e ottenere i vantaggi seguenti:

  • Protezione dagli attacchi pass-the-hash e dagli attacchi di movimento laterale
  • Maggiore sicurezza per gli scenari del supporto tecnico remoto
  • Possibilità di accedere ai dispositivi inaccessibili e ripristinarli
  • Un modello di sicurezza molto dettagliato (liste di controllo accessi e crittografia opzionale delle password) per proteggere le password memorizzate in Windows Server Active Directory
  • Supporto per il modello di controllo accessibile basato sui ruoli Microsoft Entra per la sicurezza delle password memorizzate in Microsoft Entra ID

Video informativi su Windows LAPS

I video seguenti ti danno maggiori informazioni sulla funzione Windows LAPS. Poiché questi video non includono contenuti testuali, usa gli articoli circostanti come guida autorevole per Windows LAPS.

Presentazione Windows Technical Takeoff (novembre 2022):

Discussione su come affrontare la tecnologia di Windows (agosto 2023):

Scenari chiave di Windows LAPS

È possibile usare Windows LAPS in diversi scenari chiave:

  • Eseguire il backup delle password dell'account amministratore locale in Microsoft Entra ID (per i dispositivi aggiunti a Microsoft Entra)

  • Backup delle password dell'account amministratore locale in Windows Server Active Directory (per client e server aggiunti a Windows Server Active Directory)

  • Backup delle password dell'account DSRM in Windows Server Active Directory (per i controller di dominio Windows Server Active Directory)

  • Esegui il backup delle password degli account amministratore locali in Windows Server Active Directory utilizzando la modalità di emulazione legacy di Microsoft LAPS, in cui Windows LAPS nativo rispetta le impostazioni esistenti dei Criteri di gruppo legacy di Microsoft LAPS durante la migrazione

In ogni scenario è possibile applicare impostazioni dei criteri diverse.

Comprendere le restrizioni sullo stato di unione del dispositivo

Il fatto che un dispositivo sia aggiunto a Microsoft Entra ID o Windows Server Active Directory determina la modalità di utilizzo di Windows LAPS.

  • I dispositivi aggiunti solo a Microsoft Entra ID possono eseguire il backup delle password solo in Microsoft Entra ID.
  • I dispositivi aggiunti solo a Windows Server Active Directory possono eseguire il backup delle password solo in Windows Server Active Directory.
  • I dispositivi aggiunti in modalità ibrida (aggiunti sia a Microsoft Entra ID che a Windows Server Active Directory) possono eseguire il backup delle proprie password in Microsoft Entra ID o in Windows Server Active Directory.

Non è possibile eseguire il backup delle password sia in Microsoft Entra ID che in Windows Server Active Directory.

Windows LAPS non supporta i client collegati al luogo di lavoro di Microsoft Entra.

Impostare i criteri di Windows LAPS

Per configurare e gestire i criteri per la distribuzione di Windows LAPS, sono disponibili più opzioni:

Gestire e monitorare Windows LAPS

Hai diverse opzioni per gestire e monitorare Windows LAPS.

Le opzioni per Windows includono:

Quando fai il backup delle password su Microsoft Entra ID, ottieni soluzioni di monitoraggio e reportistica basate su Microsoft Entra ID.

Deprecazione del prodotto Microsoft LAPS legacy

Important

Il prodotto Microsoft LAPS legacy è deprecato a partire da Windows 11 23H2 e versioni successive. Le versioni più recenti del sistema operativo bloccano l'installazione del pacchetto legacy Microsoft LAPS Microsoft Installer (MSI). Microsoft non considera più modifiche al codice per il prodotto legacy Microsoft LAPS.

Usa Windows LAPS per gestire le password degli account amministratori locali. Windows LAPS è disponibile in Windows Server 2019 e versioni successive e nei client Windows 10 e Windows 11 supportati.

Microsoft continuerà a supportare il prodotto legacy Microsoft LAPS sulle versioni più vecchie di Windows (precedenti a Windows 11 23H2) che lo supportavano in precedenza. Quel supporto termina al termine del normale periodo di supporto per quelle versioni del sistema operativo.

Differenze tra Windows LAPS e Microsoft LAPS legacy

Windows LAPS eredita molti concetti di progettazione da Microsoft LAPS legacy. Se conosci i Microsoft LAPS legacy, riconosci molte funzionalità di Windows LAPS. Una differenza fondamentale è che Windows LAPS è un'implementazione completamente separata, nativa di Windows. Windows LAPS aggiunge inoltre molte funzionalità che non sono disponibili in Microsoft LAPS legacy. Puoi usare Windows LAPS per eseguire il backup delle password in Microsoft Entra ID, crittografare le password in Windows Server Active Directory e archiviare la cronologia delle password.

Windows LAPS non richiede l'installazione di Microsoft LAPS legacy. È possibile distribuire e usare tutte le funzionalità di Windows LAPS senza installare o fare riferimento a Microsoft LAPS legacy. Per aiutare a migrare una distribuzione legacy Microsoft LAPS esistente, Windows LAPS offre la modalità legacy di emulazione Microsoft LAPS. Ricorda che il prodotto legacy Microsoft LAPS è obsoleto nelle versioni più recenti di Microsoft OS. Per altre informazioni, vedere Deprecazione del prodotto Microsoft LAPS legacy.

Da Microsoft LAPS precedente a Windows LAPS nativo

Poiché il prodotto legacy di Microsoft LAPS è obsoleto e le versioni più recenti di Windows bloccano il suo installatore, il metodo nativo di Windows LAPS è il modo supportato per gestire le password degli amministratori locali. Il Windows LAPS nativo non richiede download o installazione separata. È integrato nelle versioni supportate di Windows e Windows Server, quindi non è necessario installare Microsoft LAPS legacy per adottarlo.

Per pianificare e completare il trasferimento sui dispositivi che attualmente eseguono Microsoft LAPS legacy, vedi Migra da LAPS legacy a Windows LAPS. Quell'articolo è la fonte autorevole per i prerequisiti di migrazione, le opzioni di migrazione disponibili, come validare che Windows LAPS nativo gestisce con successo i tuoi account e come rimuovere il software legacy Microsoft LAPS dopo la transizione.

Modalità di emulazione di Microsoft LAPS precedente

Se non puoi passare direttamente a Windows LAPS nativo, puoi eseguire Windows LAPS in modalità emulazione legacy di Microsoft LAPS come opzione transitoria. In questa modalità, Windows LAPS rispetta le tue impostazioni legacy del Group Policy Microsoft LAPS mentre completi la migrazione.

La modalità emulazione ha due prerequisiti fondamentali:

  • Non installare sul dispositivo gestito l'estensione lato client (CSE) dei Criteri di gruppo di Microsoft LAPS precedente. Se il CSE legacy è presente, Windows LAPS gli dà la precedenza e disabilita la modalità di emulazione per evitare conflitti.
  • Le impostazioni native delle policy LAPS di Windows hanno la precedenza. Se configuri un dispositivo con le impostazioni native delle policy LAPS di Windows e quelle legacy di Microsoft LAPS, Windows LAPS applica le impostazioni native e ignora quelle emulate.

La modalità emulazione ha limiti di sicurezza. Come il Microsoft legacy LAPS, memorizza le password in Windows Server Active Directory solo in forma di testo chiaro, quindi non può utilizzare le funzionalità di crittografia o cronologia delle password native di Windows LAPS. Considera la modalità emulazione come un passaggio temporaneo e pianifica di migrare a Windows LAPS nativo per sfruttare le sue funzionalità di sicurezza. Per ulteriori informazioni, consulta Inizia con Windows LAPS in modalità di emulazione legacy Microsoft LAPS.

Dichiarazione di supporto per Windows LAPS e Microsoft LAPS legacy

Microsoft ha rilasciato il prodotto legacy Microsoft LAPS nel 2016 sul Area download Microsoft. Windows LAPS è stato distribuito come parte degli aggiornamenti Windows pubblicati l'11 aprile 2023 per le piattaforme elencate nelle piattaforme supportate da Windows LAPS.

Microsoft e la sua organizzazione di distribuzione di supporto offrono supporto assistito sia per Microsoft LAPS legacy che per Windows LAPS, inclusa l'interoperabilità tra i due prodotti. Microsoft ha deprecato il prodotto Microsoft LAPS precedente nelle versioni più recenti dei sistemi operativi Microsoft. Per altre informazioni, vedere Deprecazione del prodotto Microsoft LAPS legacy.

Ti consigliamo vivamente di iniziare a pianificare subito la migrazione dei tuoi sistemi compatibili Windows LAPS da Microsoft LAPS legacy alla funzione Windows LAPS. Windows LAPS offre numerose nuove funzionalità di sicurezza e un supporto del prodotto migliorato.

Domande dirette sulle limitazioni e le preoccupazioni di interoperabilità tra gli strumenti di gestione delle password degli account locali di terze parti e Windows LAPS allo sviluppatore dell'applicazione di terze parti, non a Microsoft.

Requisiti di licenza Windows LAPS

La funzione Windows LAPS è disponibile gratuitamente su tutte le piattaforme Windows supportate.

È possibile eseguire il backup delle password in Windows Server Active Directory senza altri requisiti di licenza.

È possibile eseguire il backup delle password in Microsoft Entra ID con una licenza Microsoft Entra ID Free o versione successiva.

Altre funzionalità di Microsoft Entra ID o Microsoft Intune possono avere altri requisiti di licenza.

Invia feedback su Windows LAPS

Se si vuole inviare feedback, Per inviare domande specifiche per documento, utilizza i link di feedback in fondo a questa pagina.

Puoi anche inviare feedback e altre richieste nella pagina della Tech Community di feedback di Windows LAPS.

Se il tuo feedback riguarda la funzionalità LAPS relativa a Microsoft Entra ID o Intune, invia il feedback tramite il forum feedback di Microsoft Entra.

Se non si è certi della posizione in cui devono essere inviati i commenti e suggerimenti, inviarli usando una di queste opzioni.

Contenuti correlati

  • Last updated on