Vereiste rollen en machtigingen voor het bulksgewijs exporteren van Windows LAPS wachtwoorden

Hallo,

voor het bulkgewijs opvragen van Windows LAPS-wachtwoorden via geautomatiseerde scripts moet u rekening houden met twee lagen van autorisatie: de toegewezen Microsoft Entra-rollen en de Microsoft Graph API‑toestemmingen. Microsoft heeft dit expliciet gedocumenteerd omdat het gaat om uiterst gevoelige gegevens die alleen in platte tekst beschikbaar komen wanneer de juiste rechten zijn toegekend.

Aan de kant van Entra is het minimale vereiste dat het uitvoerende account of de service‑principal beschikt over de rol Cloud Device Administrator of Intune Administrator. Deze rollen geven toegang tot apparaatobjecten en configuratieprofielen, wat noodzakelijk is om de LAPS‑wachtwoorden via Graph te kunnen uitlezen. Het toekennen van bredere rollen zoals Global Administrator is functioneel mogelijk, maar wordt door Microsoft afgeraden omdat dit de principle of least privilege schendt.

Voor de Graph API moet u de toestemmingen toekennen die specifiek betrekking hebben op LAPS. Concreet gaat het om DeviceLocalCredential.Read.All. Dit is een application‑level permission die vereist is om de eigenschap localCredentials van een apparaatobject via de endpoint GET /deviceManagement/windowsLaps/localAdminPassword uit te lezen. Zonder deze toestemming zal de API geen platte tekstwachtwoorden teruggeven. Het is belangrijk te benadrukken dat deze toestemming alleen als application permission beschikbaar is, dus uw service‑principal moet een app‑registratie zijn met admin consent verleend door een Entra‑administrator.

Samengevat: wijs de rol Cloud Device Administrator of Intune Administrator toe aan het uitvoerende account of de service‑principal, en ken via de app‑registratie de Graph API‑toestemming DeviceLocalCredential.Read.All toe met admin consent. Dit is de enige ondersteunde en veilige manier om bulkgewijs actuele LAPS‑wachtwoorden in platte tekst te exporteren naar een externe beveiligde opslaglocatie.

Domic Vo.