Configurer les déchiffreurs de mot de passe autorisés
Vérifié avec Windows 11 25H2 — mis à jour le 12 juillet 2026
Pris en charge sur : Au moins Microsoft Windows 10 ou version ultérieure
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Système\LAPS Description
Configurez ce paramètre pour contrôler l’utilisateur ou le groupe spécifique autorisé à déchiffrer les mots de passe chiffrés. La configuration de ce paramètre n’a aucun effet, sauf si le chiffrement de mot de passe a été activé. Si ce paramètre est activé, les mots de passe chiffrés sont déchiffrables par le groupe spécifié. Si ce paramètre est désactivé ou non configuré, les mots de passe chiffrés sont déchiffrables par le groupe Administrateurs du domaine. Ce paramètre doit être configuré avec un nom qualifié de domaine d’un groupe ou d’un utilisateur, ou un SID au format de chaîne. Voici quelques exemples valides : contoso\LAPSAdmins [email protected] S-1-5-21-2127521184-1604012920-1887927527-35197 Ne mettez pas le nom du groupe d'utilisateurs ou le SID entre guillemets ou entre parenthèses. L’utilisateur ou le groupe spécifié doit être résolu par l’appareil géré, sinon les mots de passe ne seront pas sauvegardés. REMARQUE : ce paramètre est ignoré lorsque les mots de passe du compte DSRM (Directory Services Repair Mode) sont sauvegardés sur un contrôleur de domaine. Dans ce scénario, ce paramètre est toujours défini par défaut sur le groupe Administrateurs du domaine du domaine du contrôleur de domaine. Voir « https://go.microsoft.com/fwlink/?linkid=2188435 » pour plus d'informations.
Registre
SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Configurer les déchiffreurs de mot de passe autorisés
; State: Enabled
; Supported on: Au moins Microsoft Windows 10 ou version ultérieure
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS]
"ADPasswordEncryptionPrincipal"=""Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Configurer les déchiffreurs de mot de passe autorisés
# State: Enabled
# Supported on: Au moins Microsoft Windows 10 ou version ultérieure
$path = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'ADPasswordEncryptionPrincipal' -Value '' -Type StringIntune XML
Aucune correspondance directe Policy CSP / OMA-URI pour cette stratégie. Utilisez l'onglet Intune Remediation, ou importez l'ADMX dans Intune.Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Configurer les déchiffreurs de mot de passe autorisés
# State: Enabled
# Supported on: Au moins Microsoft Windows 10 ou version ultérieure
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS' -Name 'ADPasswordEncryptionPrincipal' -Expected '' -Kind String)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Configurer les déchiffreurs de mot de passe autorisés
# State: Enabled
# Supported on: Au moins Microsoft Windows 10 ou version ultérieure
$path = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'ADPasswordEncryptionPrincipal' -Value '' -Type StringScripts SCCM
# Exported from gporais.com
# Policy: Configurer les déchiffreurs de mot de passe autorisés
# State: Enabled
# Supported on: Au moins Microsoft Windows 10 ou version ultérieure
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Configurer les déchiffreurs de mot de passe autorisés
# State: Enabled
# Supported on: Au moins Microsoft Windows 10 ou version ultérieure
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS' -Name 'ADPasswordEncryptionPrincipal' -Expected '' -Kind String)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Configurer les déchiffreurs de mot de passe autorisés
# State: Enabled
# Supported on: Au moins Microsoft Windows 10 ou version ultérieure
$path = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\LAPS'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'ADPasswordEncryptionPrincipal' -Value '' -Type StringVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).