Windows LAPS: gestión segura de contraseñas locales

Una contraseña local única por dispositivo#

Windows LAPS administra y rota la contraseña de una cuenta local, y puede respaldarla en Microsoft Entra ID o Windows Server Active Directory según el estado de unión del dispositivo. Esto reduce la reutilización de credenciales locales y permite recuperar un equipo con acceso controlado. No sustituye cuentas administrativas nominativas, MFA, gestión de privilegios ni un proceso de recuperación.

Microsoft documenta escenarios, límites y permisos en la introducción a Windows LAPS y en la guía de arquitectura y seguridad de LAPS. Confirma compatibilidad de sistema operativo y directivas antes de desplegar.

Elegir el destino de respaldo#

• Dispositivo unido solo a Entra ID: el respaldo de contraseña se realiza en Entra ID.
• Dispositivo unido solo a Active Directory local: el respaldo se realiza en Active Directory.
• Dispositivo híbrido: la organización elige el directorio de respaldo adecuado para su operación.
• Windows LAPS no respalda la misma contraseña simultáneamente en ambos directorios.

La política, herramienta de administración y asignación de permisos deben corresponder al tipo de unión. En Entra, controla quién puede recuperar el secreto mediante roles; en Active Directory, revisa ACL y, cuando aplique, cifrado del atributo. No concedas lectura amplia por comodidad del help desk.

Despliegue por etapas#

1. Inventario: clasifica estaciones, servidores y controladores; identifica cuenta local objetivo y estado de unión.
2. Diseño de acceso: define quién solicita, aprueba, recupera y rota contraseñas; separa soporte ordinario de acceso excepcional.
3. Piloto: aplica política en un grupo acotado, confirma que el dispositivo procesa la configuración y que el secreto se respalda.
4. Prueba de recuperación: en equipo de laboratorio o procedimiento autorizado, recupera la contraseña, registra quién accedió y fuerza rotación después de su uso.
5. Despliegue gradual: expande por grupos, vigila dispositivos sin respaldo y documenta exclusiones con propietario y fecha de revisión.
6. Retirada: elimina permisos y registros de equipos dados de baja siguiendo el proceso de ciclo de vida de activos.

Antes de generalizar, prueba fallos de conectividad con el directorio, dispositivos fuera de línea, cambios de alcance de permisos y recuperación durante una incidencia. Alinea el proceso con el playbook de cuentas privilegiadas y la gestión segura de parches de servidores.