Intune LAPS einrichten
Auf vielen Windows-Rechnern in kleinen Firmen hat der lokale Administrator überall dasselbe Kennwort. Wer es von einem Gerät kennt, kommt auf alle anderen. Windows LAPS löst das: Jedes Gerät bekommt ein eigenes Kennwort, das sich regelmäßig ändert und in Entra ID hinterlegt wird. So habe ich es mit Intune eingerichtet.
Vorher: LAPS im Mandanten einschalten
Den Schritt übersieht man leicht: Im Entra Admin Center unter Geräte → Geräteeinstellungen muss „Microsoft Entra Local Administrator Password Solution (LAPS) aktivieren“ auf Ja stehen. Sonst verteilt Intune die Richtlinie zwar, die Geräte können ihr Kennwort aber nicht in Entra ID ablegen, und im Ereignisprotokoll steht nur ein Fehler.
Außerdem prüfe ich, ob noch alte LAPS-Einstellungen per GPO oder das alte Microsoft LAPS (MSI) auf den Geräten sind. Zwei Quellen für dasselbe Konto führen zu Kennwörtern, die keiner mehr kennt.
Die Richtlinie
In Intune unter Endpunktsicherheit → Kontoschutz → Richtlinie erstellen, Plattform Windows, Profil „Local admin password solution (Windows LAPS)“. Meine Einstellungen:
| Einstellung | Wert | Warum |
|---|---|---|
| Sicherungsverzeichnis | Nur in Microsoft Entra ID (in der Oberfläche teils noch „Azure AD“) | Die Geräte sind reine Cloud-Geräte, kein lokales AD |
| Kennwortalter | 7 Tage | Kurz genug, dass ein abgefragtes Kennwort schnell wertlos wird |
| Kennwortkomplexität | Groß-, Kleinbuchstaben, Zahlen, Sonderzeichen | Standard |
| Kennwortlänge | 12 | Der Standard ist 14. Heute würde ich 14 oder mehr nehmen, es tippt sowieso niemand von Hand ab |
| Aktion nach der Anmeldung | Kennwort zurücksetzen und verwaltetes Konto abmelden | Wer das Kennwort benutzt hat, wird danach rausgeworfen, und das Kennwort ist verbraucht |
| Verzögerung nach der Anmeldung | 1 (Stunde) | Eine Stunde reicht für einen Support-Einsatz. Die Angabe ist in Stunden, nicht in Tagen |
Automatische Kontoverwaltung
Früher musste man das lokale Admin-Konto selbst anlegen, zum Beispiel per Skript. Seit Windows 11 24H2 kann LAPS das Konto selbst erstellen und verwalten. Ich lasse ein neues Konto namens LocalAdmin anlegen und aktivieren, ohne zufälligen Namenszusatz. Der eingebaute Administrator bleibt deaktiviert.
- Automatische Kontoverwaltung aktiviert: Ja
- Ziel: neues benutzerdefiniertes Administratorkonto verwalten
- Name oder Präfix:
LocalAdmin - Zufälliger Name: Nein
- Konto aktivieren: Ja
Auf älteren Windows-Versionen greifen diese Einstellungen nicht. Dort muss das Konto weiterhin vorher existieren.
So sieht das Profil im Intune Admin Center aus:
Kennwort abrufen
Im Intune Admin Center unter Geräte → Gerät auswählen → Kennwort des lokalen Administrators. Lesen dürfen das nur Rollen mit dem passenden Recht, etwa Intune Administrator oder Cloud Device Administrator. Ich gebe das bewusst nicht jedem Helpdesk-Konto. Wer es öfter braucht, kann es auch per PowerShell holen:
Connect-MgGraph -Scopes 'Device.Read.All','DeviceLocalCredential.Read.All'
Get-LapsAADPassword -DeviceIds 'PC-NAME' -IncludePasswords -AsPlainTextNach der Anmeldung mit dem Kennwort greift die Aktion aus der Richtlinie: Nach einer Stunde wird das Konto abgemeldet und das Kennwort neu gesetzt.
Prüfen, ob es läuft
Auf dem Gerät steht im Ereignisprotokoll unter Anwendungs- und Dienstprotokolle → Microsoft → Windows → LAPS → Operational, wann das Kennwort zuletzt gesetzt wurde und ob die Sicherung geklappt hat. Wenn dort Fehler stehen, liegt es fast immer am Mandantenschalter von oben oder an einer zweiten LAPS-Quelle.
