Windows LAPS, şirket bilgisayarındaki yerel yönetici hesabının parolasını cihaz bazında yönetip düzenli değiştiren bir Windows özelliğidir. Destek gerektiğinde yetkili kişi ilgili bilgisayarın parolasını güvenli yönetim ekranından alır. Böylece bütün bilgisayarlarda yıllardır kullanılan tek bir “teknik servis şifresine” bağımlı kalmazsınız. Çalışanların Microsoft 365 parolalarını değiştiren bir sistem değildir; hedefi bilgisayarın üzerindeki ayrı, yüksek yetkili yerel hesaptır.
Bu rehber, Windows bilgisayarlarını Microsoft Entra ID ve Intune ile yöneten veya bu yapıya geçmeyi planlayan işletmeler içindir. Amaç herkesi yönetici yapmak değil, destek için gereken erişimi kontrollü hale getirmektir.
Aynı yönetici şifresini her bilgisayarda kullanmak neden sorun?
Kurulum sırasında bütün bilgisayarlara aynı destek hesabının açıldığı bir ofis düşünün. Zamanla bu parolayı eski çalışanlar, dış servisler ve birkaç departman sorumlusu öğrenmiş olabilir. Bir bilgisayardaki parola ele geçirilirse aynı bilginin diğer cihazlarda da kullanılabilmesi riski doğar. Sorun yalnızca parolanın kısa olması değildir; aynı sırrın çok geniş bir alanda geçerli olmasıdır.
Windows LAPS bu ortak parola alışkanlığını cihazlara özgü, düzenli yenilenen parolalarla değiştirmeye yardımcı olur. Ancak tek başına bütün güvenlik sorunlarını çözmez. Güncelleme, zararlı yazılımdan korunma, kullanıcı yetkileri ve yönetim hesaplarının güvenliği ayrıca ele alınmalıdır. “LAPS kurduk, artık herkes yerel yönetici olabilir” sonucu çıkarılmamalıdır.
Intune, Entra ID ve Windows LAPS ne yapar?
En basit anlatımla Windows LAPS bilgisayardaki işi yürütür, Intune politikayı dağıtır, seçilen dizin ise parolanın güvenli yedekleme hedefi olur. Microsoft Entra ID, bulut tabanlı senaryoda bu hedeflerden biridir. Kurum içi Active Directory kullanılan yapılarda farklı bir yerleşim mümkündür; her şirkete aynı ayarı uygulamak doğru değildir.
Intune ile parola uzunluğu ve değiştirme aralığı gibi gereksinimler belirlenebilir; hesap bilgileri ve parola döndürme raporları incelenebilir. Buradaki “döndürme”, eski parolanın yeni bir parolayla değiştirilmesi anlamına gelir. Cihaz yönetimi henüz kurulmadıysa önce Microsoft Intune ile cihaz yönetimi kapsamı değerlendirilmelidir.
Başlamadan önce kontrol edilmesi gerekenler
- Windows sürümü: Desteklenen, güncel bir Windows sürümü kullanın. Windows LAPS desteği ile işletim sisteminin genel destek süresini birbirine karıştırmayın. Yeni kurulum planında destek dışı bilgisayarları ayrıca ele alın.
- Cihazın bağlantı türü: Microsoft Entra joined veya hybrid joined cihazlarla yalnızca Microsoft Entra registered cihazlar aynı değildir. Sadece kayıtlı olan cihazlar, Entra ID ile Windows LAPS senaryosunu desteklemez.
- Yönetim kaydı: Bu rehberdeki Intune senaryosu için cihazın Intune tarafından yönetiliyor olması gerekir. Yalnızca kullanıcının Outlook hesabıyla oturum açmış olması yeterli kabul edilmemelidir.
- Yedekleme hedefi: Cihazın bağlantı türüne uygun Entra ID veya Active Directory hedefi seçilir. Aynı cihazın Windows LAPS parolasını eş zamanlı olarak iki hedefe birden yedekleme varsayımıyla plan yapmayın.
- Lisans kapsamı: Entra ID tarafındaki LAPS desteği Free ve üzeri lisanslarda bulunur. Intune üzerinden yönetim için Intune Plan 1 gerekir. Koşullu Erişim, özel roller ve diğer ek özelliklerin lisans koşulları ayrıca kontrol edilmelidir.
Satın alma öncesinde mevcut paketlerinizi listeleyin. Aynı ihtiyacı zaten karşılayan bir hakkınız varsa yeniden lisans almak yerine doğru yapılandırma gerekebilir. Buna karşılık “LAPS ücretsiz, tüm cihaz yönetimi de ücretsizdir” yaklaşımı yanıltıcı olur.
Hangi yerel hesap yönetilecek?
Windows LAPS cihaz başına tek bir yerel yönetici hesabını yönetir; bilgisayardaki bütün yerel hesapları otomatik olarak kapsamaz. Bu nedenle önce destek amacıyla kullanılacak hesabı seçmek, diğer yönetici hesaplarını da ayrı bir envanterde değerlendirmek gerekir.
| Yaklaşım | Hesap nasıl hazırlanır? | Planlamada dikkat |
|---|
| Manuel hesap yönetimi | Yerleşik hesap veya önceden oluşturulmuş özel hesap hedeflenir. | Özel hesabın adını yazmak onu otomatik oluşturmaz. |
| Otomatik hesap yönetimi | Windows LAPS hesap oluşturma dahil hesap yönetimini üstlenebilir. | Windows 11 24H2, Windows Server 2025 ve sonraki desteklenen sürümler gerekir. |
“LAPS hesap oluşturmaz” ifadesi manuel mod için geçerlidir; yeni otomatik modla karıştırılmamalıdır. Otomatik hesap yönetimi varsayılan olarak kapalıdır. İşletmenin özel hesap yapılandırması gereksinimleriyle birlikte değerlendirilmelidir. Hesabı devre dışı tutma gibi seçenekler düşünülüyorsa, acil destek sırasında yeniden kullanılabilir hale getirme süreci de denenmelidir.
Parolayı destek ekibindeki herkes görebilir mi?
Hayır. Parolayı görme izni ile cihaz bilgilerini görme izni aynı değildir. Örneğin Microsoft Entra'daki Helpdesk Administrator rolü, varsayılan olarak LAPS parolasının kendisini okuma hakkına sahip değildir. Rolün adında “destek” geçmesi yeterli kanıt sayılmamalıdır. Parola kurtarma yetkileri ve denetim kayıtları ayrıca tasarlanmalıdır.
Pratik önerimiz, erişimi iş tanımına göre sınırlandırmak ve yetkili kişinin hangi cihazlar için destek verdiğini belirlemektir. Sırf bir parola görüntülenemiyor diye geniş yönetici yetkileri dağıtmayın. Kimlik ve erişim yönetimi çalışmasında bu sınırlar, mevcut lisanslar ve destek sorumlulukları birlikte incelenebilir. Parolanın kendisini destek bileti, e-posta veya ortak Excel dosyasına kopyalamak yerine işlem kaydına gerekçeyi ve yapılan işi yazın.
Önce küçük bir pilot: Altı adımda kabul kontrolü
- Envanteri çıkarın. Cihaz sürümü, bağlantı türü, mevcut yerel hesaplar ve eski LAPS/GPO politikalarını kaydedin. Sadece bilgisayar sayısıyla başlamayın.
- Temsil eden cihazları seçin. Örneğin ofisteki bir masaüstü ve uzaktan çalışan bir dizüstü pilotta yer alsın. Bu örnek bir başlangıçtır; kapsamı şirketinizin yapısına göre belirleyin.
- Tek, anlaşılır politika hazırlayın. Intune'da Endpoint security içindeki Account protection bölümünde Windows LAPS profili kullanılır. Çakışan politikalar yedeklemeyi engelleyebilir; hedef grupları ve eski ayarları kontrol edin.
- Gerçek sonucu doğrulayın. Politikanın listede görünmesi yeterli değildir. Cihazın politikayı işlediğini, doğru hesabın yönetildiğini ve parolanın beklenen dizine yedeklendiğini doğrulayın.
- İzinleri iki yönden sınayın. Yetkili destek personeli gerekli bilgiyi alabilmeli; yetkisiz bir kullanıcı alamamalıdır. Kontrolü sadece yönetici hesabıyla yapmayın.
- Destek ve yenileme provasını tamamlayın. Kontrollü cihazda parola kullanımı ve değişimi sonrasında erişimi test edin. İşlem kaydı, sorumlu kişi ve başarısız cihazların takibi belli olmadan bütün şirkete yaymayın.
Örnek bir kabul tutanağında cihaz adı, test tarihi, politika sonucu, yetki testi ve sorun notu bulunabilir; açık parola bulunmamalıdır. Pilot başarısızsa bütün güvenlik ayarlarını kapatmak yerine başarısız adımı ayırın. Çevrimdışı cihazların ve görev dışındaki destek personelinin dahil olduğu bir olay için kimin devreye gireceğini önceden belirlemek de teknik ayarlar kadar önemlidir.
Sık sorulan sorular
Çalışanların Microsoft 365 şifreleri değişecek mi?
Hayır. Buradaki hedef, bilgisayardaki seçilmiş yerel yönetici hesabıdır. Kullanıcının e-posta parolasını sıfırlama süreci ayrıdır. Destek talebinde önce hangi hesabın sorun yaşadığını netleştirin.
Politika var ama parola görünmüyor; neden?
Cihaz henüz politikayı işlememiş, manuel modda hedef hesap oluşturulmamış veya yedekleme hedefi yanlış seçilmiş olabilir. Parolayı görüntüleyen kişinin yetkisi de eksik olabilir. Cihaz durumu, politika çakışmaları ve okuma iznini ayrı ayrı kontrol edin.
Intune olmadan Windows LAPS kullanılabilir mi?
Evet; Windows LAPS politikaları için Grup İlkesi gibi farklı yöntemler vardır. Ancak Intune olmadan aynı yönetim ekranına ve iş akışına sahip olacağınızı varsaymayın. Seçimi mevcut cihaz altyapısına göre yapın.
Bütün bilgisayarlara hemen açmak doğru mu?
Önce pilot öneririz. Hesap seçimi, erişim yetkisi ve kurtarma adımı çalışmadan geniş dağıtım destek süreçlerini zorlaştırabilir. Başarı ölçütü yalnızca politika sayısı değil, kontrollü erişimin gerçekten çalışmasıdır.
İşletmeniz için doğru başlangıç
İlk görüşmeye cihaz sayısı, Windows sürümleri, mevcut Microsoft paketleri ve destek ekibinin görevleriyle gelmeniz yeterlidir; parola paylaşmanız gerekmez. Micro Bilgi ile Intune ve yerel yönetici erişimi değerlendirmesi planlayarak lisans ihtiyacını, pilot kapsamını ve destek sorumluluklarını birlikte netleştirebilirsiniz.
Kaynaklar
Teknik kaynaklar 22 Ekim 2026 tarihinde kontrol edilmiştir. Uygulama öncesinde mevcut Windows sürümü ve tenant lisans kapsamı ayrıca doğrulanmalıdır.