> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/fr/agent-realmjoin/realmjoin-client/local-admin-password-solution-laps.md).
# Solution de mot de passe administrateur local (LAPS)
RealmJoin LAPS génère des mots de passe robustes pour les comptes locaux, stockés dans votre propre Azure Key Vault et audités via Application Insights ou Log Analytics.
Notre solution de mot de passe d’administrateur local (LAPS) a été conçue pour résoudre le problème de l’utilisation de comptes identiques dans votre environnement pour le support utilisateur ou l’élévation de privilèges. LAPS crée des mots de passe robustes pour les comptes locaux, qui sont stockés de manière sécurisée dans *votre propre* [Azure Key Vault](/fr/agent-realmjoin/realmjoin-client/local-admin-password-solution-laps/keyvault.md). Pour l’audit, vous avez la possibilité de fournir une [Application Insights](/fr/agent-realmjoin/realmjoin-client/local-admin-password-solution-laps/application-insights.md) instance ou un [Log Analytics Workspace](/fr/supervision-et-journaux/log-analytics.md).
## Pré-requis
Avant de pouvoir commencer avec LAPS, vous devez remplir les pré-requis suivants :
* Configuration [Application Insights](#application-insights) OU [Log Analytics Workspace](/fr/supervision-et-journaux/log-analytics.md)
* Activez explicitement les types de comptes LAPS à l’aide des paramètres de groupe (ou utilisateur)
Nous examinerons les deux ci-dessous.
## Journalisation
Application Insights et Log Analytics jouent un rôle important lors de l’utilisation de LAPS. Les demandes de mot de passe déclenchées par LAPS sont consignées par RealmJoin et transmises à l’instance Application Insights configurée ou au Log Analytics Workspace. De cette façon, vous avez une visibilité complète sur qui récupère les mots de passe.
Un seul format de journalisation doit être choisi — soit Application Insights, soit Log Analytics. La journalisation est facultative lors de la configuration de LAPS et peut être omise si votre organisation n’a pas besoin de ces informations.
Vous trouverez plus de détails dans nos [Application Insights](/fr/agent-realmjoin/realmjoin-client/local-admin-password-solution-laps/application-insights.md) et [Log Analytics](/fr/supervision-et-journaux/log-analytics.md) articles.
## Paramètres de groupe
LAPS prend en charge les paramètres globaux suivants.
| Clé du paramètre | Valeur par défaut | Description |
| ---------------------------------- | ----------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| LocalAdminManagement.Inactive | `faux` | Définir sur `vrai` pour forcer la désactivation de cette fonctionnalité. Cela nettoiera et **supprimera** tous les comptes locaux. |
| LocalAdminManagement.CheckInterval | `"01:00"` | Intervalle des vérifications de configuration internes ([HH:mm](https://docs.microsoft.com/en-us/dotnet/standard/base-types/standard-timespan-format-strings)) |
Les types de comptes suivants sont pris en charge.
| Clé du paramètre | Valeur par défaut |
| -------------------------------------- | ----------------------- |
| LocalAdminManagement.EmergencyAccount | `undefined` (*inactif*) |
| LocalAdminManagement.SupportAccount | `undefined` (*inactif*) |
| LocalAdminManagement.PrivilegedAccount | `undefined` (*inactif*) |
Chaque type de compte peut être configuré indépendamment à l’aide des paramètres communs suivants. Certains types disposent de paramètres spéciaux décrits dans leur section respective.
{% hint style="info" %}
Dans le tableau suivant `$` représente l’un des trois `de compte` objet JSON ci-dessus.
{% endhint %}
| Clé du paramètre | Valeur par défaut | Description |
| ------------------ | -------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------- |
| $.NamePattern | `"ADM-{HEX:8}"` | Spécial. Voir [Compte privilégié](#privileged-account). Doit comporter 20 caractères ou moins. |
| $.DisplayName | `"RealmJoin Local Administrator"` | Nom d’affichage |
| $.PasswordCharSet | `"!#%+23456789:=?@ABCDEFGHJKLMNPRSTUVWXYZabcdefghijkmnopqrstuvwxyz"` | Jeu de caractères pour le générateur de mots de passe (exclut les caractères similaires) |
| $.PasswordLength | 20 | Longueur du mot de passe |
| $.PasswordPreset | 0 | Modèles de mot de passe prédéfinis, voir [Génération de mots de passe](#password-generation). |
| $.MaxStaleness | Spécial. Voir [Recréation du compte](#account-recreation). | Modèles de mot de passe prédéfinis, voir [Génération de mots de passe](#password-generation). |
| $.OnDemand | Spécial. Voir [Compte de support](#support-account). | Créer le compte uniquement lorsqu’il est demandé. |
| $.Expiration | Spécial. Voir [Compte de support](#support-account). | Date d’expiration fixe du compte (format ISO-8601) |
| $.PasswordRenewals | Spécial. Voir [Compte privilégié](#privileged-account). | Date d’expiration fixe du compte (format ISO-8601) |
## Mot de passe **génération**
Par défaut, des mots de passe véritablement aléatoires seront générés en fonction des paramètres `PasswordCharSet` et `PasswordLength`. Le jeu de caractères par défaut a été choisi pour exclure les caractères visuellement similaires comme `I1l` et `O0`. Le générateur de nombres aléatoires cryptographiques de Windows est utilisé pour fournir une aléa de haute qualité lors de la génération.
{% hint style="info" %}
RealmJoin gérera automatiquement les problèmes liés aux exigences de complexité de Windows lors de la création du compte. Comme pour tous les mots de passe véritablement aléatoires, il peut arriver que les mots de passe générés ne satisfassent pas les exigences de complexité. Si cela se produit, RealmJoin effectuera jusqu’à trois cycles de génération de mots de passe jusqu’à ce qu’un mot de passe viable soit généré. Il reste une faible probabilité statistique que toutes les nouvelles tentatives soient épuisées. Dans ce cas, vous verrez un message dans le fichier journal du service similaire à `Toutes les tentatives épuisées`. Le processus complet redémarrera lors de la prochaine exécution des vérifications de configuration internes (voir le paramètre `CheckInterval`).
{% endhint %}
Les mots de passe véritablement aléatoires peuvent être pénibles à utiliser, c’est pourquoi des modèles prédéfinis spéciaux sont également pris en charge.
* Préréglage 1 ⇒ `[1 majuscule][3 minuscules][4 chiffres]`
* `Tuci9325`
* `Lnso5050`
* `Khwn2174`
* Préréglage 2 ⇒ `Key-[6 chiffres]-[6 chiffres]-[6 chiffres]-[6 chiffres]-[6 chiffres]-[6 chiffres]-[6 chiffres]-[6 chiffres]`
* Le paramètre PasswordLength est pris en charge ! Ce paramètre détermine le nombre de blocs de chiffres.
* `Key-012993-230956-976475` (PasswordLength = 3)
* `Key-497254-679158-631224-278319` (PasswordLength = 4)
* `Key-506179-861369-706482-613244-730371-097689-404350-340073` (par défaut)
* Préréglage 3 ⇒ `[mot]-[mot]-[mot]-[mot]-[mot]-[mot]` généré à partir de [Eff Long List](https://www.eff.org/files/2016/07/18/eff_large_wordlist.txt)
* Le paramètre PasswordLength est pris en charge ! Ce paramètre détermine le nombre de mots.
* `Exciting-Unearth-Cried-87` (PasswordLength = 3)
* `Neurology-Astute-Debate-Marshy-15` (PasswordLength = 4)
* `Marshy-Darkened-Undertake-Reset-Shrouded-Wise-26` (par défaut)
## Recréation du compte
Après qu’un compte a été utilisé, RealmJoin peut être configuré pour supprimer et recréer le compte à l’aide du `MaxStaleness` paramètre. De cette façon, les comptes seront toujours propres. Si ce n’est pas configuré, les comptes ne seront jamais recréés et resteront en place indéfiniment.
{% hint style="danger" %}
RealmJoin supprimera le compte et son profil. **Tous les fichiers seront supprimés définitivement.**
Si un compte est toujours en cours d’utilisation — toujours connecté, session ouverte, application lancée avec ce compte en tant qu’ADM et toujours en cours d’exécution — le compte expirera quand même, mais ne pourra pas être supprimé. **Un nouveau compte ne peut pas être créé tant que l’ancien compte n’a pas été supprimé.**
{% endhint %}
## Évitement des conflits
Même si RealmJoin fait de son mieux pour éviter les conflits de nommage lors de la gestion des comptes sur un appareil, il existe toujours la possibilité que des comptes existent déjà sur un appareil, ce qui provoque des conflits. C’est pourquoi le `NamePattern` paramètre prend en charge ces jetons ayant une signification particulière pour RealmJoin. Les jetons seront transformés par la fonction spécifiée et son paramètre de longueur suivant le deux-points.
* `{HEX:8}` ⇒ `F4D027EF`, `B3C4F74E`, ... (caractères hexadécimaux aléatoires)
* `{DEC:6}` ⇒ `506453`, `066946`, ... (caractères décimaux aléatoires)
* `{COUNT:2}` ⇒ `01`, `02`, ... (compteur, restera `01` s’il n’existe aucun conflit)
## Compte d’urgence
Ce type de compte constitue votre accès de secours à l’appareil en cas de défaillance catastrophique. Il sera créé de manière proactive. Ainsi, vous aurez toujours un accès pour la récupération. Nous recommandons de le configurer pour [la recréation du compte](#account-recreation).
*Exemple*
Clé `LocalAdminManagement.EmergencyAccount` (pour les paramètres communs, voir [paramètres de groupe](#group-settings))
```json
{
"NamePattern": "ADM-Emergency-{HEX:4}",
"DisplayName": "Emergency Access",
"MaxStaleness": "04:00",
"PasswordPreset": 2
}
```
## Compte de support
Ce type de compte peut être configuré pour une création à la demande. Il est conçu pour être utilisé dans une fenêtre temporelle limitée — 12 heures par défaut — en mode à la demande. La fenêtre d’expiration peut être ajustée par tenant dans la *Portail RealmJoin* (configuration du tenant LAPS).
{% hint style="danger" %}
Les comptes de support et leurs profils seront supprimés une fois la fenêtre d’expiration configurée (12 heures par défaut) écoulée depuis la demande du compte, indépendamment de l’utilisation (après la déconnexion de l’utilisateur de support). **Tous les fichiers seront supprimés définitivement.**
{% endhint %}
{% hint style="danger" %}
Lors de l’utilisation du mode à la demande, la recréation du compte (`MaxStaleness`) *ne doit pas être utilisé*. Cela peut interférer avec votre flux de travail de support.
{% endhint %}
Exigences pour le flux de travail à la demande :
* Le mode est activé en définissant `"OnDemand": true`.
* Un utilisateur est connecté
* L’agent RealmJoin est en cours d’exécution
* L’appareil est connecté à Internet
* L’appareil peut joindre le backend RealmJoin
{% hint style="info" %}
Il peut s’écouler jusqu’à 30 minutes avant que l’agent RealmJoin ne remarque la demande. L’utilisateur connecté peut accélérer ce processus en choisissant « Sync this device » dans le menu de la barre d’état système de RealmJoin.
{% endhint %}
Lorsqu’il n’est pas en mode à la demande, il sera créé de manière proactive.
*Exemple*
Clé `LocalAdminManagement.SupportAccount` (pour les paramètres communs, voir [paramètres de groupe](#group-settings))
```json
{
"NamePattern": "ADM-Support-User-{HEX:2}",
"DisplayName": "Support User",
"OnDemand": true,
"PasswordPreset": 1
}
```
## Compte privilégié
Ce type de compte est conçu pour être utilisé par des utilisateurs avancés qui ont besoin de privilèges d’administrateur réguliers mais contrôlés sur leurs propres appareils. Une date d’expiration fixe du compte peut être spécifiée (`Expiration`).
{% hint style="danger" %}
Pour ce type, la recréation du compte (`MaxStaleness`) *ne doit pas être utilisé*. L’objectif est d’avoir un compte persistant pour vos utilisateurs.
{% endhint %}
Les rotations forcées du mot de passe sont prises en charge :
1. `2021-11-20T12:34:56+01:00`: Tout horodatage explicite au format ISO-8601. Plusieurs horodatages peuvent être spécifiés.
2. `DayAfterCreate`: Après la création du compte, le mot de passe du compte sera modifié. Cela est utile lorsque les utilisateurs sont censés configurer Windows Hello pour des options de connexion supplémentaires.
3. `Annuel`, `Mensuel` ou `Hebdomadaire`: L’intervalle le plus court est prioritaire (`Hebdomadaire` > `Mensuel` > `Annuel`). Si aucune autre condition n’est spécifiée, la valeur par défaut est « premier jour du mois » pour `Mensuel` ou « lundi » pour `Hebdomadaire`. En outre, `Annuel` par défaut à la date de dernière définition du mot de passe + 365 jours. Les sept jours de la semaine peuvent être spécifiés. Ainsi, si `Wednesday` et `Hebdomadaire` sont spécifiés, le mot de passe sera modifié chaque mercredi. Si `Wednesday` et `Mensuel` sont spécifiés, le mot de passe sera modifié le premier mercredi de chaque mois. En combinant `Annuel` avec des jours de la semaine, la date limite sera fixée au dernier jour de la semaine spécifié le plus tard possible juste avant l’échéance des 365 jours.
*Exemple*
Clé `LocalAdminManagement.PrivilegedAccount` (pour les paramètres communs, voir [paramètres de groupe](#group-settings))
```json
{
"NamePattern": "Privileged-User-{COUNT:1}",
"DisplayName": "Utilisateur privilégié",
"PasswordRenewals": ["DayAfterCreate", "Monthly", "Thursday"],
"PasswordPreset": 3,
"PasswordLength": 3
}
```
## Accès aux mots de passe
Utilisez le RealmJoin Portal pour accéder aux mots de passe.
### Qui peut accéder aux comptes LAPS
Ce qu’un utilisateur du portail peut faire avec les comptes LAPS d’un appareil dépend de son rôle RealmJoin :
| Rôle | Compte d’urgence | Compte de support | Compte privilégié |
| --------------------- | ------------------------- | -------------------------------------- | -------------------------------------- |
| Admin, Support avancé | Lire le mot de passe | Lire le mot de passe, demander l’accès | Lire le mot de passe, demander l’accès |
| Auditor | Voir uniquement le compte | Voir uniquement le compte | Voir uniquement le compte |
| Supporter | Lire le mot de passe | Lire le mot de passe, demander l’accès | — |
Les utilisateurs qui possèdent plusieurs rôles obtiennent l’accès combiné de ces rôles.
{% hint style="info" %}
Sur les appareils sans utilisateur principal, seuls les Global Admins et les Admins peuvent accéder aux comptes LAPS.
{% endhint %}
#### Rôles personnalisés
[Rôles personnalisés](/fr/administration-et-parametres/permission/custom-roles.md) peut donner un accès LAPS avec les autorisations suivantes. Chaque autorisation donne exactement l’accès LAPS du rôle intégré correspondant du tableau ci-dessus. Elle ne donne aucune autre autorisation de ce rôle.
| Autorisation | Accès LAPS comme |
| ------------------------------------- | ---------------- |
| `CanUseDeviceLapsAsAdvancedSupporter` | Support avancé |
| `CanSeeDeviceLapsAsAuditor` | Auditor |
| `CanUseDeviceLapsAsSupporter` | Supporter |
Pour [restrictions d’accès](#restricting-access), un utilisateur doté de l’une de ces autorisations est considéré comme un utilisateur ayant le rôle correspondant. Par exemple, un utilisateur avec `CanUseDeviceLapsAsSupporter` doit appartenir à l’un des groupes répertoriés sous `Supporter`.
### Restriction de l’accès
Utilisez le `Restrict.LAPS` paramètre permettant de limiter quels utilisateurs du portail peuvent accéder aux comptes LAPS de certains appareils, par exemple les appareils de vos dirigeants. Voir [Restrictions d’accès](/fr/ugd-management/user-and-group-settings/additional-settings.md#access-restrictions) pour plus de détails.
Le *LAPS* La section d’un appareil dans le RealmJoin Portal indique quels rôles LAPS vous détenez et lesquels d’entre eux `Restrict.LAPS` autorisent l’accès à cet appareil.
## Activer le libre-service
Les utilisateurs peuvent accéder aux comptes créés sur leurs *propre* appareils (ils sont «PrimaryUser») lorsque cela est activé à l’aide de *Portail RealmJoin* à partir de la version `2022.5.1`. Pour l’activer, définissez un paramètre à l’aide de la clé `Allow.SelfLAPS`. Ce paramètre peut être défini sur des groupes et des utilisateurs. Comme pour tous les paramètres préfixés par `Allow.*` ils sont combinés par ET entre l’utilisateur et tous ses groupes.
```json
{
"EmergencyAccount": true,
"SupportAccount": true,
"PrivilegedAccount": true
}
```
La valeur peut également être un simple booléen `vrai`/`faux`. Cela peut être utilisé comme caractère générique et couvre tous les types de comptes actuels et futurs. Veuillez noter que cela n’est recommandé que pour désactiver l’accès (`faux`).
{% hint style="info" %}
Par le passé, il était recommandé de définir ce paramètre sur `vrai`. Cependant, à mesure que nous continuons d’étendre RealmJoin, de nouveaux types de comptes seront ajoutés. Il est donc fortement recommandé de migrer toutes les `vrai` valeurs vers la notation objet plus explicite
{% endhint %}
Un exemple de configuration pourrait ressembler à ceci :
| Groupe | | Commentaire |
| -------------------------------- | --------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| Tous les travailleurs à distance | `{ "EmergencyAccount": true }` | Les travailleurs à distance peuvent accéder au compte d’urgence de leurs propres appareils. |
| Tous les développeurs | `{ "EmergencyAccount": true, "PrivilegedAccount": true }` | Les développeurs peuvent accéder à leur compte d’urgence et à leur compte privilégié — qu’ils soient travailleurs à distance ou non. |
| Tous les stagiaires | `faux` | Les stagiaires ne doivent jamais avoir accès à aucun des trois types de comptes **et** tous les types futurs, même s’ils sont travailleurs à distance ou développeurs |
{% hint style="info" %}
SelfLAPS est plus puissant que le rôle LAPS standard. Cela dit, si un utilisateur administrateur administre LAPS avec son compte utilisateur habituel, il ne pourra pas administrer son propre LAPS.
Atténuation : activez SelfLAPS pour ces comptes administrateur ou utilisez des comptes administrateur séparés.
{% endhint %}
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.realmjoin.com/fr/agent-realmjoin/realmjoin-client/local-admin-password-solution-laps.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
