Tous les postes partagent le même mot de passe administrateur local (image de déploiement) : un attaquant qui le récupère sur un poste se propage partout. Déployez Windows LAPS (PowerShell sur srv-ad01, module LAPS) :
- Extension du schéma :
Update-LapsADSchema -Confirm:$false
- Droit pour les postes d'écrire leur mot de passe :
Set-LapsADComputerSelfPermission -Identity "OU=Postes,DC=acme,DC=test"
- Lecture réservée au support N2 :
Set-LapsADReadPasswordPermission -Identity "OU=Postes,DC=acme,DC=test" -AllowedPrincipals "ACME\GRP-Support-N2"
- (La GPO LAPS est déjà liée : sauvegarde dans AD, 14 jours, complexité maximale.) Vérifiez sur un poste :
Get-LapsADPassword -Identity PC-COMPTA-07 -AsPlainText → date d'expiration → answer expiration <jj/mm/aaaa>. Qui peut lire les mots de passe ? → answer lecteurs <groupe>