LAPS 與 Azure Arc 整合

Question

XieJie 80

大家好，

我哋而家管理緊一批混合環境嘅實體伺服器同埋遠端 Edge 裝置。呢啲裝置冇加入本地 Active Directory 網域，但已經透過 Azure Arc 進行管理。

我想了解一下，Windows LAPS 可唔可以用喺呢類 Azure Arc 已啟用嘅裝置上，自動輪替本機 Administrator 密碼，並且將密碼安全咁儲存喺 Azure Portal，方便日後查閱同管理？

另外，如果呢個情境係支援嘅，仲需要額外設定任何 Azure Arc、Entra ID 或 Intune 政策先可以正常運作嗎？

如果有朋友實際部署過類似環境，麻煩分享一下經驗或者最佳做法，感謝！

0 則留言

1 個回答

Answer 1

你好，谢杰

是的，这种场景目前已经支持。微软提供了 LAPS for Azure Arc，可以让已接入 Azure Arc 的 Windows 服务器和边缘设备自动轮换本地 Administrator 密码，并通过 Azure 进行集中管理。对于未加入本地 AD 域的混合环境，这正是官方推荐的方案。

不过，仅启用 Azure Arc 还不够。您还需要配置 Azure Policy 和 Machine Configuration，利用这些策略来审核和强制执行 LAPS 配置，例如密码复杂度、轮换周期以及密码备份设置。

我的建议是在生产环境中先使用 Audit（审计）模式，确认不会与现有的本地管理员账号管理流程产生冲突；验证无误后，再切换到 Configure（强制配置）模式，由系统自动完成密码轮换和合规性管理。

实际部署时，需确保设备运行受支持的 Windows 版本并已成功连接到 Azure Arc，同时为需要查看密码的管理员分配相应的 Azure 权限。完成配置后，Azure 就可以作为统一管理平台，为整个混合环境中的本地管理员密码提供集中、安全的管理。

多米克。