Windows LAPS pilotu: parola değişimini ve yetkili erişimi birlikte doğrulamak

Aynı yerel yönetici parolasının birçok bilgisayarda kullanılması, tek bir kimlik bilgisinin sızmasını daha geniş bir erişim sorununa dönüştürebilir. Windows LAPS, cihazların yönetilen yerel hesap parolalarını değiştirip dizine yedeklemeyi sağlar. Ancak bir ilkenin dağıtılması; parolanın gerçekten yenilendiğini, doğru yere yazıldığını ve yalnızca yetkili kişilerce alınabildiğini tek başına kanıtlamaz. Bu rehberin amacı, küçük bir pilotu ölçülebilir kabul adımlarıyla planlamaktır.

Temsili ortam ve kapsam

Örnek ortam, laboratuvar için ayrılmış lab.batuhanyazici.com etki alanına bağlı, güncel Windows 11 bilgisayarlarıdır. Parolalar Windows Server Active Directory üzerinde tutulur. Microsoft Entra ID yedeklemesi ve etki alanı denetleyicilerinin kurtarma hesabı bu pilotun dışında bırakılmıştır. Bu bir üretim uygulaması veya tamamlanmış test raporu değildir; işlemler yetkili laboratuvarda doğrulanmalıdır.

2 Kasım 2026 tarihinde Microsoft belgelerinin kapsamı kontrol edildi: Active Directory başlangıç rehberi 19 Mayıs 2025, ilke rehberi 1 Temmuz 2025, olay günlüğü rehberi 12 Mayıs 2025 güncelleme tarihini gösteriyor. Bu yazı yeni bir güvenlik duyurusu iddiası taşımaz. Kullanılan Windows derlemesi, güncelleme düzeyi ve destek durumu ayrıca kaydedilmelidir.

1. Ön koşulları ve hesap sahibini belirleyin

Microsoft belgelerine göre Active Directory parola şifrelemesi için etki alanı işlev düzeyinin en az 2016 olması gerekir. Bu koşul karşılanmıyorsa şifrelemeyi kapatıp ilerlemek yerine kapsamı durdurup geçiş planını değerlendirin. Windows LAPS desteği ile işletim sisteminin yaşam döngüsü farklı kontrollerdir. Örneğin eski bir Windows sürümünde özelliğin bulunması, o sürümün genel desteğinin sürdüğü anlamına gelmez.

Yönetilecek yerel hesabı açıkça belirleyin. Yerleşik hesabın çevrilmiş adına güvenmek yerine ürünün desteklediği tanımlama davranışını kullanın. Özel hesap seçiliyorsa hesabın varlığı ayrıca doğrulanır. Otomatik hesap yönetimi daha yeni sürümlere bağlı bir özelliktir; eski istemcilerde aynı davranış beklenmemelidir. Bu pilotta otomatik hesap oluşturma varsayılmaz.

2. Dizin hazırlığını pilot kapsamından ayırın

Active Directory şema hazırlığı orman çapında bir değişikliktir; yalnızca birkaç bilgisayarlık pilot işlem gibi görülmemelidir. Microsoft’un başlangıç rehberindeki şema ve yetki adımları ayrı değişiklik kaydı, yedekleme ve yetkili yönetici değerlendirmesiyle yürütülür. Bu yazı, hazırlığın tamamlandığı ortamda pilot kabulüne odaklanır; mevcut şemayı geri alma komutu önermez.

Bilgisayarların kendi parola özniteliklerini güncelleyebilmesi, destek ekibinin parolayı okuyabilmesi ve şifreli verinin çözülebilmesi ayrı yetkilerdir. Kimlerin hangi bilgisayar grubuna erişeceğini belirleyin. Geniş dizin okuma veya geniş yönetim yetkisini kolaylık gerekçesiyle pilotun tamamına dağıtmayın. Yetkisiz test kullanıcısı da kabul planında yer alsın.

3. Tek ilke kaynağıyla başlayın

Pilota özel grup ilkesi oluşturun; yedekleme hedefini Active Directory, şifrelemeyi etkin ve parola koşullarını yerel güvenlik ilkesiyle uyumlu seçin. Yönetilen hesabın başka bir hizmet veya zamanlanmış görev tarafından kullanılmadığını araştırın. Parola değişiminin bağımlı işleri bozması, önlenebilir bir işletim riskidir.

Microsoft’un ilke rehberi, farklı yönetim kaynaklarındaki ayarların birlikte birleştirilmediğini açıklar. Üst öncelikli kaynaktaki tek bir tanım, beklenen grup ilkesi yerine farklı etkin yapılandırma seçilmesine neden olabilir. Birden fazla yönetim kanalı varsa yalnızca editör ekranına bakmayın; istemcide oluşan etkin ilkeyi inceleyin. Parola yaşını değiştirmek de mevcut parolayı kendiliğinden hemen döndürmez.

4. Günlük, erişim ve değişimi birlikte doğrulayın

İstemcinin Windows LAPS işlem günlüğünde aynı döngüyü izleyin. Microsoft’un olay rehberinde 10003 başlangıç, 10004 başarılı tamamlanma, 10005 başarısızlık olarak açıklanır. Active Directory yedeklemesinde 10018 dizinin güncellendiğini; 10020 yerel hesabın güncellendiğini bildirir. Sadece başarılı döngü kaydı, o döngüde yeni parola üretildiği şeklinde yorumlanmamalıdır.

Yetkili kişi, onaylı yönetim aracından pilot cihazın kaydını alabilmeli; yetkisiz kullanıcı aynı veriye erişememelidir. Parolayı ekran görüntüsüne, olay kaydına veya destek talebine koymadan sonucu belgeleyin. Kontrollü değişimden sonra önceki parolanın artık geçersiz olduğunu ve yeni kaydın doğru cihaza ait olduğunu güvenli laboratuvarda sınayın. Kabul kaydına yalnızca zaman, cihazın temsili adı ve başarılı/başarısız sonuç yazın.

Geri dönüş ve sınırlar

Pilot sorununda kapsam genişletmesini durdurun; önceki ilke kopyası ve onaylı acil erişim yöntemiyle ilerleyin. İlkeyi kaldırmanın eski parolayı geri getirmediğini, dizindeki kayıtları kendiliğinden temizlemediğini kabul edin. Çevrimdışı cihaz, dizin kesintisi ve kurtarma erişimi ayrıca denenmeden pilotu tamamlanmış saymayın. LAPS, ayrıcalıklı erişim yönetimi ve uç nokta güvenliğinin bütününün yerine geçmez.