Ana Sayfa Çözüm Deposu & MakalelerWindows LAPS (Local Administrator Password Solution) Kurulumu ve GPO ile Parola Rotasyonu (Adım Adım Resimli Kılavuz)

Sistem & BulutHOW_TOINTERMEDIATE

Windows LAPS (Local Administrator Password Solution) Kurulumu ve GPO ile Parola Rotasyonu (Adım Adım Resimli Kılavuz)

Kurumsal etki alanındaki tüm Windows 10/11 ve Windows Server makinelerinde Pass-the-Hash ve yanal hareket (Lateral Movement) saldırılarını engellemek için yerleşik Windows LAPS şema genişletmesi, GPO yapılandırması ve şifreli parola yönetimi rehberi.

AdminADMIN

Platform Yöneticisi & Sistem Mimarı

28.08.202612 dk Okuma7120 Görüntülenme

AuditAgent™ Kod & Mimari Doğrulaması

Güven Skoru: %100

AuditAgent Onaylı (Windows LAPS 2026 Enterprise Validated)

Sözdizimi Doğrulandı

Uygulama Önkoşulları & Gereksinimler

Active Directory Domain Controller (2016+)

Schema Admin ve Domain Admin Yetkisi

Windows 10/11 İstemciler

İnteraktif Mimari Akış Şeması (Mermaid)Otomatik Çizilen Topoloji

Windows LAPS (Local Administrator Password Solution) Kurulumu ve GPO ile Parola Rotasyonu (Adım Adım Resimli Kılavuz)Mermaid.js

100%

ADIM 1

Windows LAPS Group Policy

↓

ADIM 2

Windows 11/10 İstemci

↓

ADIM 3

Local LAPS Service

↓

ADIM 4

(Active Directory msLAPS-Password

↓

ADIM 5

Yetkili Sistem Yöneticisi

Giriş: Neden Windows LAPS Kullanmalıyız?

Kurumsal ortamlarda imaj veya kurulum sırasında tüm istemcilere tanımlanan sabit yerel yönetici (Local Administrator) parolası, siber saldırganların en çok faydalandığı güvenlik açığıdır. Bir makine ele geçirildiğinde saldırgan **Mimikatz** ile NTLM karmasını (hash) çekerek aynı parolaya sahip diğer tüm kurumsal bilgisayarlarda yanal hareket (**Lateral Movement / Pass-the-Hash**) gerçekleştirir.

**Windows LAPS (Yeni Nesil Yerleşik LAPS)**, her istemci için benzersiz, karmaşık ve periyodik olarak değişen bir yerel yönetici parolası üretir ve bu parolayı Active Directory (veya Microsoft Entra ID) üzerinde AES-256 ile şifrelenmiş olarak saklar.

Group Policy Management Editor — [Default Domain Policy [DC01.corp.local] Policy]

Computer Configuration

Policies

Windows Settings

Administrative Templates:

✓ Policy definitions (ADMX files) retrieved from the central store.

▶ Google / Google Chrome

▶ Microsoft Edge

▶ Windows Components

Setting (Google Chrome Enterprise İlkeleri)Durum / Filtre

Set Google Chrome as Default BrowserEnabled

Enable saving passwords to the password managerDisabled

Force Google SafeSearch in search engine queriesEnabled

Merkezi SYSVOL Şablon Yolu: \\\\corp.local\\SYSVOL\\corp.local\\Policies\\PolicyDefinitionsADMX v24.2 Active

---

1. Adım: Active Directory Şemasının Genişletilmesi (Update-LapsADSchema)

Windows LAPS için Active Directory şemasına yeni öznitelikler (Attributes: `msLAPS-Password`, `msLAPS-PasswordExpirationTime`) eklenmelidir:

POWERSHELL

1	# 1. Schema Admin yetkisine sahip PowerShell oturumu açın
2	Import-Module LAPS
3
4	# 2. AD Şemasını Windows LAPS için Genişletin
5	Update-LapsADSchema -Verbose
6
7	# 3. Şema Güncellemesinin Başarısını Doğrulayın
8	Get-LapsADSchema

Administrator: Windows PowerShell 7 (x64)

Windows PowerShell v7.4.2 [Server Core x64]

PS C:\Windows\system32> netdom query fsmo

Schema master DC02.corp.local Domain naming master DC02.corp.local PDC emulator DC02.corp.local RID master DC02.corp.local Infrastructure master DC02.corp.local The command completed successfully.

---

2. Adım: Bilgisayar Hesaplarına Kendi Parolasını Yazma Yetkisi Verme

İstemci bilgisayarların kendi ürettikleri şifrelenmiş parolayı Active Directory bilgisayar nesnesine yazabilmesi için hedef OU üzerinde yetkilendirme yapılır:

POWERSHELL

1	# İstemcilerin bulunduğu OU için LAPS yazma izni tanımlayın
2	Set-LapsADComputerSelfPermission -Identity "OU=Workstations,OU=Corp,DC=corp,DC=local" -Verbose

---

3. Adım: Group Policy (GPO) ile LAPS İlkelerinin Yapılandırılması

**Group Policy Management Console (GPMC)** açılır -> `LAPS-Policy` adında yeni bir GPO oluşturulur: `Computer Configuration -> Administrative Templates -> System -> LAPS`:

LAPS GPO İlkesi	Yapılandırma Değeri	Açıklama
Configure password backup directory	Enabled -> Active Directory	Parolalar Active Directory'de şifreli saklanır.
Password Settings	Complexity: Large + Small + Numbers + Symbols (Length: 16, Age: 30 days)	16 karakterli karmaşık şifre ve 30 günlük otomatik rotasyon.
Name of administrator account to manage	Enabled -> LapsAdmin (veya Administrator)	Yönetilecek yerel hesap adı.
Enable password encryption	Enabled	Parolanın yalnızca yetkili yöneticilerce çözülebilmesi için AES-256 şifreleme.

---

4. Adım: İstemcide Politikanın Test Edilmesi ve Olay Günlüğü Denetimi

İstemci makinede `gpupdate /force` komutu çalıştırıldıktan sonra Windows Olay Görüntüleyicisi (`eventvwr.msc`) açılır: `Applications and Services Logs -> Microsoft -> Windows -> LAPS -> Operational`:

**Event ID 10001:** *"LAPS successfully processed policy and updated password in Active Directory."*

Olay Görüntüleyicisi — [Event Viewer (Local) > Security Log]

—□✕

DüzeyTarih / SaatKaynakOlay KimliğiGörev Kategorisi

Bilgi27.08.2026 15:42:10Microsoft-Windows-Security-Auditing4624 / 8003Logon / NTLM Audit

Olay 8003, NTLMv1 Kimlik Doğrulama Uyarısı:

Paket Adı: NTLM V1

Hesap Adı: muhasebe_user01

İstemci İş İstasyonu: FINANCE-PC-12 (192.168.10.45)

Hedef Sunucu: DC01.corp.local

Eylem: NTLMv1 güvensiz kabul edildi. NTLMv2 veya Kerberos zorunlu kılınmalıdır.

---

5. Adım: Parolayı Okuma ve Manuel Rotasyon Tetikleme

Yetkili bir sistem yöneticisi istemcinin güncel yerel parolasını PowerShell üzerinden kolayca okuyabilir veya rotasyonu zorlayabilir:

POWERSHELL

1	# 1. Hedef Bilgisayarın Güncel LAPS Parolasını Okuyun
2	Get-LapsADPassword -Identity "PC-FINANS01" -AsPlainText
3
4	# 2. Şüpheli Bir Durumda Parolanın Anında Değişmesini Zorlayın
5	Reset-LapsPassword -Identity "PC-FINANS01"

#LAPS#Windows LAPS#Active Directory#Group Policy#Siber Güvenlik#Local Admin

Bu Makaleyle İlgili Bir Sorunuz mu Var?

Uygulama esnasında aldığınız hata kodlarını veya logları forumda paylaşarak TriageAgent ve topluluktan anında destek alın.

Forumda Konu Aç

LAPS GPO İlkesi	Yapılandırma Değeri	Açıklama
Configure password backup directory	Enabled -> Active Directory	Parolalar Active Directory'de şifreli saklanır.
Password Settings	Complexity: Large + Small + Numbers + Symbols (Length: 16, Age: 30 days)	16 karakterli karmaşık şifre ve 30 günlük otomatik rotasyon.
Name of administrator account to manage	Enabled -> LapsAdmin (veya Administrator)	Yönetilecek yerel hesap adı.
Enable password encryption	Enabled	Parolanın yalnızca yetkili yöneticilerce çözülebilmesi için AES-256 şifreleme.