Hide navigation sidebar
Hide table of contents sidebar
Skip to content
SAMBA 4.22
Back to top
View this page
Toggle table of contents sidebar

# Configurer LAPS pour Samba-AD

LAPS est une solution de gestion des mots de passe pour les machines Windows membres d’un domaine Active Directory.

Note

Le nouveau Microsoft LAPS est pris en charge nativement à partir de :

- Windows 10 – Version 22H2 avec les mises à jour cumulatives d’avril 2023 (KB5025221 ou ultérieure)

- Windows 11 – Toutes versions avec les mises à jour cumulatives d’avril 2023

- Windows Server 2019 / 2022 / 2025 – Avec les mises à jour cumulatives d’avril 2023 ou plus récentes

Aucune installation client n’est désormais requise : Microsoft LAPS est intégré au système, y compris le module PowerShell.

Note

Les commandes suivantes doivent être exécutées sur la machine détenant le rôle FSMO Schema (utilisez `samba-tool fsmo show` pour l’identifier).

Attention

Il peut être pertinent d’effectuer une sauvegarde de votre AD avant toute modification du schéma. De plus, il est important de noter qu’il n’est pas possible de supprimer une extension de schéma dans Active Directory.

- Créez un fichier LDIF d’extension de schéma `laps-1.ldif`. Vous devez remplacer le baseDN `dc=mydomain,dc=lan` par le DN de votre domaine :

      dn: CN=ms-LAPS-PasswordExpirationTime,CN=Schema,CN=Configuration,DC=mydomain,DC=lan
      changetype: add
      objectClass: attributeSchema
      ldapDisplayName: msLAPS-PasswordExpirationTime
      adminDisplayName: msLAPS-PasswordExpirationTime
      adminDescription: Windows LAPS - time when the current password is scheduled to expire (UTC)
      attributeId: 1.2.840.113556.1.6.44.1.1
      attributeSyntax: 2.5.5.16
      omSyntax: 65
      isSingleValued: TRUE
      systemOnly: FALSE
      searchFlags: 0
      isMemberOfPartialAttributeSet: FALSE
      showInAdvancedViewOnly: FALSE

      dn: CN=ms-LAPS-Password,CN=Schema,CN=Configuration,DC=mydomain,DC=lan
      changetype: add
      objectClass: attributeSchema
      ldapDisplayName: msLAPS-Password
      adminDisplayName: msLAPS-Password
      adminDescription: Windows LAPS - current local admin password (JSON string)
      attributeId: 1.2.840.113556.1.6.44.1.2
      attributeSyntax: 2.5.5.5
      omSyntax: 19
      isSingleValued: TRUE
      systemOnly: FALSE
      searchFlags: 904
      isMemberOfPartialAttributeSet: FALSE
      showInAdvancedViewOnly: FALSE

      dn: CN=ms-LAPS-EncryptedPassword,CN=Schema,CN=Configuration,DC=mydomain,DC=lan
      changetype: add
      objectClass: attributeSchema
      ldapDisplayName: msLAPS-EncryptedPassword
      adminDisplayName: msLAPS-EncryptedPassword
      adminDescription: Windows LAPS - encrypted current local admin password
      attributeId: 1.2.840.113556.1.6.44.1.3
      attributeSyntax: 2.5.5.10
      omSyntax: 4
      isSingleValued: TRUE
      systemOnly: FALSE
      searchFlags: 904
      isMemberOfPartialAttributeSet: FALSE
      showInAdvancedViewOnly: FALSE
      attributeSecurityGUID: f3531ec6-6330-4f8e-8d39-7a671fbac605

      dn: CN=ms-LAPS-EncryptedPasswordHistory,CN=Schema,CN=Configuration,DC=mydomain,DC=lan
      changetype: add
      objectClass: attributeSchema
      ldapDisplayName: msLAPS-EncryptedPasswordHistory
      adminDisplayName: msLAPS-EncryptedPasswordHistory
      adminDescription: Windows LAPS - encrypted local admin password history
      attributeId: 1.2.840.113556.1.6.44.1.4
      attributeSyntax: 2.5.5.10
      omSyntax: 4
      isSingleValued: FALSE
      systemOnly: FALSE
      searchFlags: 904
      isMemberOfPartialAttributeSet: FALSE
      showInAdvancedViewOnly: FALSE
      attributeSecurityGUID: f3531ec6-6330-4f8e-8d39-7a671fbac605

      dn: CN=ms-LAPS-EncryptedDSRMPassword,CN=Schema,CN=Configuration,DC=mydomain,DC=lan
      changetype: add
      objectClass: attributeSchema
      ldapDisplayName: msLAPS-EncryptedDSRMPassword
      adminDisplayName: msLAPS-EncryptedDSRMPassword
      adminDescription: Windows LAPS - encrypted DSRM password
      attributeId: 1.2.840.113556.1.6.44.1.5
      attributeSyntax: 2.5.5.10
      omSyntax: 4
      isSingleValued: TRUE
      systemOnly: FALSE
      searchFlags: 904
      isMemberOfPartialAttributeSet: FALSE
      showInAdvancedViewOnly: FALSE
      attributeSecurityGUID: f3531ec6-6330-4f8e-8d39-7a671fbac605

      dn: CN=ms-LAPS-EncryptedDSRMPasswordHistory,CN=Schema,CN=Configuration,DC=mydomain,DC=lan
      changetype: add
      objectClass: attributeSchema
      ldapDisplayName: msLAPS-EncryptedDSRMPasswordHistory
      adminDisplayName: msLAPS-EncryptedDSRMPasswordHistory
      adminDescription: Windows LAPS - encrypted DSRM password history
      attributeId: 1.2.840.113556.1.6.44.1.6
      attributeSyntax: 2.5.5.10
      omSyntax: 4
      isSingleValued: FALSE
      systemOnly: FALSE
      searchFlags: 904
      isMemberOfPartialAttributeSet: FALSE
      showInAdvancedViewOnly: FALSE
      attributeSecurityGUID: f3531ec6-6330-4f8e-8d39-7a671fbac605

      dn: CN=ms-LAPS-CurrentPasswordVersion,CN=Schema,CN=Configuration,DC=mydomain,DC=lan
      changetype: add
      objectClass: attributeSchema
      ldapDisplayName: msLAPS-CurrentPasswordVersion
      adminDisplayName: msLAPS-CurrentPasswordVersion
      adminDescription: Windows LAPS - GUID of most recent persisted password
      attributeId: 1.2.840.113556.1.6.44.1.7
      attributeSyntax: 2.5.5.10
      omSyntax: 4
      isSingleValued: TRUE
      systemOnly: FALSE
      searchFlags: 904
      isMemberOfPartialAttributeSet: FALSE
      showInAdvancedViewOnly: FALSE
      rangeLower: 16
      rangeUpper: 16
      attributeSecurityGUID: f3531ec6-6330-4f8e-8d39-7a671fbac605

      dn: CN=ms-LAPS-Encrypted-Password-Attributes,CN=Extended-Rights,CN=Configuration,DC=mydomain,DC=lan
      changetype: add
      objectClass: controlAccessRight
      cn: ms-LAPS-Encrypted-Password-Attributes
      displayName: ms-LAPS-Encrypted-Password-Attributes
      rightsGuid: f3531ec6-6330-4f8e-8d39-7a671fbac605
      validAccesses: 48
      description: Windows LAPS - extended right for encrypted password attributes

- Créez un fichier `laps-2.ldif` :

      dn: CN=Computer,CN=Schema,CN=Configuration,DC=mydomain,DC=lan
      changetype: modify
      add: mayContain
      mayContain: msLAPS-PasswordExpirationTime
      mayContain: msLAPS-Password
      mayContain: msLAPS-EncryptedPassword
      mayContain: msLAPS-EncryptedPasswordHistory
      mayContain: msLAPS-EncryptedDSRMPassword
      mayContain: msLAPS-EncryptedDSRMPasswordHistory
      mayContain: msLAPS-CurrentPasswordVersion

- Lancer l’intégration des deux fichiers `ldif` (cela se fait en deux étapes afin de forcer un commit après la création des attributs) :

      ldbadd -H /var/lib/samba/private/sam.ldb --option="dsdb:schema update allowed"=true laps-1.ldif
      ldbmodify -H /var/lib/samba/private/sam.ldb --option="dsdb:schema update allowed"=true laps-2.ldif

- Redémarrez Samba-AD :

      systemctl restart samba

## Changer les droits d’administration pour un fonctionnement correct de LAPS

Note

Les commandes ci-dessous supposent que vous utilisez un système Windows qui prend déjà en charge le nouveau Microsoft LAPS. Aucune installation client supplémentaire n’est requise : LAPS est désormais directement intégré à Windows 10/11 et Windows Server 2019/2022/2025, et le module PowerShell est fourni avec l’OS.

- Contrairement à LAPS Legacy, il n’y a plus rien à installer localement. Le service, les paramètres de stratégie de groupe et le module PowerShell LAPS sont intégrés nativement à partir des mises à jour d’avril 2023 (KB5025221 et ultérieures).

- Pour confirmer que le module est disponible, exécutez simplement :

      Get-Command -Module LAPS
      Import-Module LAPS

- Dans un PowerShell avec les droits Domain Admin, exécutez la commande suivante pour donner aux machines le droit de modifier leur mot de passe Administrateur :

      Set-LapsADComputerSelfPermission -Identity "ou=machines,dc=mydomain,dc=lan"

- Ajoutez des droits de lecture aux groupes d’administrateurs afin qu’ils puissent consulter le mot de passe :

      Set-LapsADReadPasswordPermission -Identity "ou=machines,dc=mydomain,dc=lan" -AllowedPrincipals "mydomain\HelpDesk"

- Ajoutez des droits aux groupes Administrateurs pour réinitialiser l’expiration du mot de passe et forcer un premier changement sur le poste utilisateur :

      Set-LapsADResetPasswordPermission -Identity "ou=machines,dc=mydomain,dc=lan" -AllowedPrincipals "mydomain\HelpDesk"

Indication

Pour afficher les droits sur une OU, vous pouvez utiliser la commande suivante :

    Find-LapsADExtendedRights -Identity "ou=machines,dc=mydomain,dc=lan" | Format-Table

## Configurer la GPO de déploiement LAPS

Note

Si vous utilisez le dépôt PolicyDefinitions sur le partage Sysvol de votre Active Directory, vous devrez peut-être copier les fichiers admx installés par le MSI : `LAPS.admx` et `en-US\LAPS.adml`.

- Dans la console de gestion des GPO, créez une GPO LAPS (`Configuration ordinateur -> Stratégies -> Modèles d’administration -> Système -> LAPS`)

Attention

L’option Activer le chiffrement du mot de passe doit être mis sur Désactivé. Le chiffrement des mots de passe n’est pas pris en charge dans l’implémentation actuelle de Samba AD, et l’activer empêchera LAPS de fonctionner correctement.

- Vous devez également vérifier que Configurer le répertoire de sauvegarde de mot de passe est définit sur Active Directory pour garantir le bon fonctionnement.

- Configurez ensuite les Paramètres du mot de passe selon vos besoins.

- Pour compléter la configuration, définissez Configurer la gestion automatique des comptes selon le compte que vous souhaitez faire gérer par LAPS :

  - Choisissez « Gérer le compte d’administration intégré » si vous souhaitez que LAPS gère le compte Administrateur local par défaut (celui avec le Well-Known RID 500).

  - Choisissez « Gérer un compte d’administrateur personalisé » si vous utilisez un autre compte administrateur local.

## Valider le bon fonctionnement de LAPS

- Sur le poste utilisateur situé dans l’OU où la GPO LAPS est appliquée, lancez une mise à jour des stratégies de sécurité avec `gpupdate /force` ;

- Dans la console ADUC, activez les fonctionnalités avancées et vérifiez que les attributs `msLAPS-Password` et `msLAPS-PasswordExpirationTime` sont correctement renseignés sur l’objet ordinateur.

- Ouvrez la console Active Directory Users and Computers, accédez aux propriétés de la machine, puis à l’onglet LAPS et vérifiez que le mot de passe peut être récupéré.