LAPS-Kennwörter

Prüfe auf Windows-Geräten, ob LAPS das lokale Administratorkennwort tatsächlich rotiert und in Active Directory oder Microsoft Entra ID hinterlegt.

Der Check LAPS-Kennwörter prüft auf Windows-Geräten (x64, ARM64), ob das Kennwort des lokalen Administratorkontos tatsächlich von LAPS verwaltet und hinterlegt wird. Er erkennt Windows LAPS und Legacy LAPS 1.0 und prüft das verwaltete Konto, das Alter des Kennworts, die Sicherung in Active Directory oder Microsoft Entra ID sowie die LAPS-Ereignisprotokolle auf fehlgeschlagene Zyklen. Er läuft lokal über den octoja-Agent, standardmäßig alle 60 Minuten.

Voraussetzungen

Du benötigst die Berechtigung Monitoring-Check-Verwaltung.

Schritte

Gehe zu Geräte und öffne das Gerät.
Klicke auf den Tab Checks → Check hinzufügen → LAPS-Kennwörter.
Passe die Einstellungen bei Bedarf an.
Klicke auf Check hinzufügen.

Für viele Geräte gleichzeitig nutzt du ein Konfigurationspaket.

Einstellungen

Feld	Typ	Erforderlich	Standard	Beschreibung
Ergebnis, wenn LAPS nicht konfiguriert ist	Auswahl	Nein	Kritisch	Kritisch, Warnung oder OK für ein Gerät, auf dem kein LAPS-Sicherungsziel gesetzt ist oder gar keine LAPS-Variante verfügbar ist.
Ergebnis, wenn Legacy LAPS 1.0 im Einsatz ist	Auswahl	Nein	Warnung	Warnung, Kritisch oder OK, wenn das Gerät noch Legacy LAPS 1.0 nutzt.
Erwartetes Sicherungsziel	Auswahl	Nein	Beliebig	Beliebig, Active Directory oder Microsoft Entra ID. Weicht das tatsächliche Sicherungsziel ab, meldet der Check eine Warnung.
Warnalter (Tage)	Ganzzahl	Nein	0	Warnung, wenn der letzte Kennwortwechsel mindestens so viele Tage zurückliegt. 0 leitet den Grenzwert aus der LAPS-Richtlinie ab (Rotationsintervall + 2 Tage).
Kritisches Alter (Tage)	Ganzzahl	Nein	0	Kritisch, wenn der letzte Kennwortwechsel mindestens so viele Tage zurückliegt. 0 leitet den Grenzwert aus der LAPS-Richtlinie ab (Rotationsintervall + 7 Tage).
Richtlinienhärtung prüfen	Boolean	Nein	Nein	Warnt zusätzlich vor schwacher Kennwortkomplexität oder -länge, Rotationsintervallen über 90 Tagen, deaktivierten Post-Authentifizierungsaktionen und deaktivierter Kennwortverschlüsselung in Active Directory.
Ereignisprotokoll-Zeitraum (Tage)	Ganzzahl	Nein	45	Wie weit die LAPS- und AdmPwd-Ereignisprotokolle zurück ausgewertet werden. Werte werden auf 1–365 begrenzt. Erweitert.
Verzeichnisabfrage überspringen	Boolean	Nein	Nein	Das Computerobjekt in Active Directory nicht abfragen. Die Hinterlegung lässt sich dann nur noch über das lokale Ereignisprotokoll nachweisen. Erweitert.
Abfrage-Timeout (Sekunden)	Ganzzahl	Nein	120	Maximale Laufzeit der lokalen LAPS-Abfrage. Werte unter 30 werden auf 30 angehoben. Erweitert.

Die mit „Erweitert“ markierten Felder erscheinen erst, wenn du Erweiterte Optionen anzeigen einschaltest.

Bei 0 für ein Alter nutzt der Check das Rotationsintervall aus der LAPS-Richtlinie; ist dort keines gesetzt, rechnet er mit 30 Tagen. Mit den Standardwerten gilt also eine Warnung ab 32 und Kritisch ab 37 Tagen.
Liegt das kritische Alter nicht über dem Warnalter, setzt der Check es auf Warnalter + 1 Tag.
Für die Sicherung in Active Directory fragt der Check das Computerobjekt im Verzeichnis ab. Schaltest du Verzeichnisabfrage überspringen ein, kann er die Hinterlegung nur noch über das lokale Ereignisprotokoll nachweisen; ohne passendes Ereignis bleibt es bei einer Warnung.

Ergebnisse

Der Check sammelt alle gefundenen Probleme. Das Gesamtergebnis ist der höchste Schweregrad.

Zustand	Ergebnis
Keine LAPS-Variante verfügbar oder kein Sicherungsziel gesetzt	Gemäß Ergebnis, wenn LAPS nicht konfiguriert ist; weitere Prüfungen entfallen
Legacy LAPS 1.0 ist im Einsatz	Gemäß Ergebnis, wenn Legacy LAPS 1.0 im Einsatz ist
Eine Windows-LAPS-Richtlinie ist aktiv, aber die Legacy-LAPS-1.0-Erweiterung ist noch installiert, sodass keines der beiden Produkte das Konto verwaltet	Kritisch
Sicherung nach Active Directory ohne Domänenbeitritt oder nach Microsoft Entra ID ohne Entra-Beitritt	Kritisch
Das verwaltete Konto existiert nicht	Kritisch
Das verwaltete Konto ist deaktiviert oder nicht Mitglied der lokalen Administratoren	Warnung
Die Verzeichnisabfrage war erfolgreich, aber es ist keine Hinterlegung nachweisbar, oder das nötige Active-Directory-Schema fehlt	Kritisch
Die Hinterlegung ließ sich nicht überprüfen, etwa weil die Verzeichnisabfrage übersprungen wurde, fehlschlug oder das Gerät keiner Domäne angehört	Warnung
Das im Verzeichnis hinterlegte Ablaufdatum des Kennworts ist überschritten	Kritisch
Kennwortalter erreicht das Warn- oder Kritisch-Alter	Warnung bzw. Kritisch
Es ist kein Kennwortwechsel ermittelbar	Kritisch
Der letzte LAPS-Zyklus ist fehlgeschlagen (neuer als der letzte erfolgreiche) oder Legacy LAPS meldet einen Fehler nach dem letzten Kennwortwechsel	Kritisch
Das Ereignisprotokoll ist nicht lesbar, oder es gibt Konflikte mit Legacy LAPS, eine inkompatible Kennwortrichtlinie oder Manipulationsereignisse	Warnung
Eine Härtungsprüfung schlägt an (nur mit Richtlinienhärtung prüfen)	Warnung
Die LAPS-Abfrage überschreitet das Timeout oder schlägt fehl	Fehlgeschlagen

Siehe auch: Checks mit Konfigurationspaketen zuweisen · Alarmierung für einen Check einrichten

War dies hilfreich?

Brauchen Sie noch Hilfe? Team fragen