Windows LAPS Instellen via Intune (2026): Complete Gids voor IT-Beheerders

Bijgewerkt: 15 september 2026

Windows LAPS instellen via Intune betekent: Windows LAPS activeren in Microsoft Entra ID, een Intune-configuratieprofiel uitrollen op je Windows 10/11-endpoints en vervolgens de gerouleerde lokale beheerderswachtwoorden ophalen via de Entra-portal, PowerShell (Get-LapsAADPassword) of Microsoft Graph. Sinds Windows 11 24H2 en Windows Server 2025 is Windows LAPS de standaard; de legacy LAPS-MSI wordt niet langer ondersteund voor nieuwe installaties. In deze gids laat ik zien hoe je LAPS in 2026 productie-klaar uitrolt, welke rollen je écht nodig hebt, en welke fouten mijn eigen helpdesk-team in het veld tegenkwam.

• Windows LAPS is ingebouwd in Windows 10 19044+, Windows 11 22H2+ en Windows Server 2019+. Er is geen aparte MSI meer nodig sinds de update van april 2023.
• Voor Entra ID-back-up van wachtwoorden heb je een Intune-licentie en een Microsoft Entra ID P1-tenant nodig; de LAPS-functie zelf kost niets extra.
• De juiste RBAC-rollen om wachtwoorden te lezen zijn Cloud Device Administrator of Intune Administrator. Global Administrator is niet nodig.
• Standaardrotatie is 30 dagen; combineer dit met de post-authentication action "Reset the password and logoff the managed account" voor helpdesk-scenario's.
• De belangrijkste event-ID's voor troubleshooting staan in Microsoft-Windows-LAPS/Operational. Kijk naar 10003 (policy geladen), 10018 (back-up gelukt) en 10046 (back-up mislukt).

Wat is Windows LAPS en waarom vervangt het legacy LAPS?

Windows LAPS (Local Administrator Password Solution) is een ingebouwd Windows-onderdeel dat het wachtwoord van een lokale beheerderaccount periodiek roteert en veilig back-upt naar Microsoft Entra ID of Active Directory. Sinds de officiële Windows LAPS-documentatie van Microsoft in april 2023 is uitgebracht, is dit de aanbevolen opvolger van de legacy LAPS-MSI die sinds 2015 in gebruik was.

Het praktische verschil dat je op de helpdesk merkt: legacy LAPS werkte alleen tegen on-premises AD, gebruikte een aparte client-MSI, en kon geen wachtwoorden roteren op cloudonly Entra-joined devices. Windows LAPS werkt out-of-the-box op Entra-joined, Hybrid Entra-joined én pure AD-machines en heeft geen aparte agent nodig. Ik heb in twee migraties gezien dat teams dachten "we hebben legacy LAPS toch al", en pas ontdekten dat hun cloud-only laptops nooit een geroteerd wachtwoord hadden. Windows LAPS lost dat gat op.

Andere winsten van de nieuwe versie: automatische wachtwoordencryptie in AD (in plaats van alleen ACL-beveiliging), integratie met de DPAPI-NG-encryptiestack, en post-authentication actions waarmee je het wachtwoord automatisch kunt laten rouleren zodra iemand het gebruikt. Dat laatste is enorm voor helpdesks: geen "eeuwig geldige" wachtwoorden meer die in ticketing-tools blijven hangen.

Vereisten voor Windows LAPS met Intune in 2026

Voordat je een configuratieprofiel bouwt, controleer dat je omgeving aan de volgende voorwaarden voldoet. Ik loop deze checklist elke keer af, want mis er één en het profiel meldt "Not applicable" of "Error" zonder duidelijke reden.

• Windows-versie: Windows 11 22H2 of nieuwer, Windows 10 19044.2965+ (met KB5025221 of later), of Windows Server 2019/2022/2025 met de april-2023-cumulatieve update. Windows 11 24H2 bevat alles standaard.
• Join-type: Microsoft Entra joined of Microsoft Entra hybrid joined. Puur AD-joined kan óók, maar dan back-upt LAPS naar AD (niet naar Entra), een andere flow dus.
• Licenties: Microsoft Intune (per-user of per-device) en Microsoft Entra ID P1 voor het lezen van wachtwoorden via de portal. LAPS zelf is gratis.
• MDM-scope: het device moet Intune-managed zijn. Co-management met Configuration Manager kan, mits de LAPS-workload op Intune staat.
• Lokaal admin-account: een lokaal account dat je LAPS wilt laten beheren. Dit kan het ingebouwde Administrator-account zijn of een aangepast account (bijv. helpdesk_local). Ik gebruik altijd een aangepast account omdat het ingebouwde SID -500-account door sommige aanvalpaden misbruikt kan worden.

Windows LAPS activeren in Microsoft Entra ID

Voordat een device een wachtwoord kan back-uppen, moet je tenant LAPS-back-up accepteren. Dit is een tenant-brede switch die je één keer omzet.

1. Open entra.microsoft.com als Global Administrator of Cloud Device Administrator.
2. Ga naar Identity → Devices → All devices → Device settings.
3. Zet Enable Microsoft Entra Local Administrator Password Solution (LAPS) op Yes.
4. Klik Save. De wijziging is direct actief; de eerste device-back-ups komen binnen enkele minuten binnen zodra het Intune-profiel hieronder is uitgerold.

In grote tenants met bestaande apparaten zul je hier soms een audit-team over willen informeren, want de tenant gaat wachtwoorden van álle deelnemende devices bewaren. Dat is precies de bedoeling, maar audit trails moeten dit weten.

Intune-configuratieprofiel maken en toewijzen

Nu de tenant klaarstaat, bouwen we het beleid dat op de endpoints wordt uitgerold. Intune gebruikt hiervoor de Endpoint Security → Account Protection-workload met de LAPS-template.

1. Open intune.microsoft.com en ga naar Endpoint security → Account protection → Create Policy.
2. Kies platform Windows 10 and later, profile Local admin password solution (Windows LAPS).
3. Geef het profiel een duidelijke naam, bijvoorbeeld WIN-LAPS-Production-v1.
4. Configureer de kernparameters:
   • Backup Directory: Backup the password to Azure AD only.
   • Password Age Days: 30 (default). Sommige teams zetten dit op 7; kortere rotatie verhoogt security maar ook je call-volume.
   • Administrator Account Name: leeg laten om het ingebouwde Administrator-account (SID -500) te beheren, of vul de naam van je aangepaste account in.
   • Password Complexity: Large letters + small letters + numbers + special characters (waarde 4).
   • Password Length: 20 tot 24 tekens. De maximum is 64.
   • Post Authentication Actions: zie de sectie hieronder.
5. Klik Next → assign aan een device-groep (start met een pilot-groep van 10 tot 20 devices) → Create.

Binnen 8 uur (of direct na een Sync vanuit het Intune Company Portal) zal het device het beleid ontvangen en het eerste wachtwoord genereren en uploaden. In pilot-omgevingen forceer ik altijd een sync via Settings → Accounts → Access work or school → Info → Sync op het test-device.

LAPS-wachtwoord ophalen via portal, PowerShell en Graph

Er zijn drie ondersteunde manieren om een gerouleerd wachtwoord op te halen. Welke je kiest hangt af van hoe je helpdesk werkt.

1. Via de Intune-portal

1. Ga naar Devices → Windows → All devices en zoek het device op naam.
2. Open het device-blad en klik in de topbalk op Local admin password.
3. Klik Show local administrator password. Log wordt aangemaakt in het audit log.

2. Via PowerShell (LAPS-module)

De LAPS-PowerShell-module is ingebouwd in Windows 11 22H2+. Voor beheerworkstations installeer je hem als volgt:

# Op je beheer-workstation (Windows 11 met LAPS-module ingebouwd)
Import-Module LAPS

# Wachtwoord ophalen voor een specifiek device (device-object-ID uit Entra)
Get-LapsAADPassword -DeviceIds "d3a8f9b2-1234-5678-9abc-def012345678" -IncludePasswords -AsPlainText

# Meerdere devices tegelijk (per hostname)
$devices = "HD-LAPTOP-01","HD-LAPTOP-02","HD-LAPTOP-03"
foreach ($d in $devices) {
    Get-LapsAADPassword -DeviceIds $d -IncludePasswords -AsPlainText |
        Select-Object DeviceName, Account, Password, PasswordUpdateTime
}

De eerste keer dat je dit draait vraagt de module om Microsoft Graph-authenticatie via de standaard delegated-flow. Geef consent voor DeviceLocalCredential.Read.All.

3. Via Microsoft Graph (voor ticketsysteem-integratie)

Als je een selfservice-portal of ServiceNow-integratie bouwt, gebruik dan de Graph-endpoint /deviceLocalCredentials/{deviceId}. Deze retourneert versleutelde credentials die je client-side decrypteert met de gebruikers-token. Zie ook de Graph API-referentie voor deviceLocalCredentialInfo voor de exacte scopes en response-payload.

RBAC: welke rollen mogen LAPS-wachtwoorden lezen?

Één van de meest verkeerd geconfigureerde onderdelen. Je hebt geen Global Administrator nodig om LAPS-wachtwoorden te lezen, en dat mag je ook niet aan een helpdeskmedewerker geven. De least-privilege rollen die daadwerkelijk werken zijn:

• Cloud Device Administrator: kan wachtwoorden lezen en devices beheren, maar geen users of policies wijzigen. Mijn go-to voor Tier-1/Tier-2 helpdesk.
• Intune Administrator: kan alles in Intune inclusief LAPS-wachtwoorden. Geschikt voor endpoint-teams.
• Helpdesk Administrator: kan LAPS-wachtwoorden lezen sinds mei 2024; goede rol voor password-reset-teams.

Om deze uit te delen, gebruik Privileged Identity Management (PIM) als je Entra ID P2 hebt: eligible assignments met just-in-time activation. Zonder PIM: Entra ID → Roles & admins → [rol] → Add assignments. Elk gebruik wordt gelogd in Audit logs → Directory onder de activiteit Recover device local administrator password.

In een van mijn Business Email Compromise-onderzoeken kwam een aanvaller ver omdat een oud servicedesk-account nog Global Admin was. Honestly, dat soort verhalen zijn de reden dat ik hier zo streng over ben. LAPS moet je met dezelfde discipline uitrollen als je BitLocker-herstelsleutels beheert: minimale rechten, audit-logging, en tijdgebonden toegang.

Post-authentication actions configureren

Windows LAPS heeft een schitterende feature die legacy LAPS mist: post-authentication actions. Zodra iemand het LAPS-wachtwoord gebruikt om lokaal in te loggen, start er een timer. Na een instelbaar aantal uren (default 24) voert Windows automatisch een actie uit, meestal een rotatie.

De drie beschikbare acties zijn:

1. 0 – Disabled: geen actie na inloggen. Alleen tijd-gebaseerde rotatie (na Password Age Days).
2. 1 – Reset password: roteer het wachtwoord na de grace period. Aanbevolen default.
3. 3 – Reset password and logoff: roteer én sluit alle sessies van het beheerde account af. Aanbevolen voor high-security omgevingen.

Voor typisch helpdeskgebruik zet ik Post Authentication Actions op 3 met een grace period van 4 uur. Dat geeft de engineer ruimte om zijn werk af te maken, en zorgt dat het wachtwoord dat in je ticketing-tool staat over een halve dag toch niet meer werkt. Wachtwoorden mogen niet eeuwig geldig blijven in tickets.

Windows LAPS troubleshooting en event-ID's

Als het eerste back-up event niet binnenkomt in de portal, is de snelste weg naar het probleem het lokale event log. Open Event Viewer op het endpoint en ga naar Applications and Services Logs → Microsoft → Windows → LAPS → Operational. Zoek naar deze event-ID's:

• 10003: LAPS-policy is toegepast. Als deze ontbreekt, komt het beleid niet aan (controleer Intune sync, filter, of licentie).
• 10018: Back-up naar Entra gelukt. Dit is de succesindicator.
• 10022: Back-up naar AD gelukt (bij hybrid scenario's).
• 10046: Back-up mislukt. De payload bevat een HRESULT, meestal 0x8007054B (device niet joined) of 0x800708AC (LAPS niet enabled in tenant).
• 10056: Post-authentication reset uitgevoerd. Handig om te verifiëren dat je grace period werkt.

Andere snelle checks vanuit een verhoogde PowerShell op het endpoint:

# Toon huidige LAPS-configuratie (uit registry en policy)
Get-LapsDiagnostics

# Forceer directe policy-evaluatie (nuttig na Intune-sync)
Invoke-LapsPolicyProcessing

# Bekijk laatste back-up-tijdstempel lokaal
Get-Item HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\LAPS\State |
    Select-Object -ExpandProperty Property

Als Get-LapsDiagnostics meldt dat er meerdere policy-bronnen conflicteren (bijvoorbeeld Intune én een oude GPO), dan wint de conflict-resolutie-volgorde uit Microsoft's LAPS-policy-referentie: CSP (Intune) > GPO > Local. Voor een schone uitrol verwijder je legacy LAPS-GPO's voordat je Intune-beleid toepast, anders krijg je fantoomconfiguraties die maandenlang blijven achtervolgen. Als je Group Policy niet correct wordt toegepast op de betrokken devices, los dat eerst op voordat je LAPS verder debugt.

Windows LAPS vs. legacy LAPS: vergelijkingstabel

Voor teams die migreren, hier een directe vergelijking van de features die er in 2026 toe doen:

Feature	Legacy LAPS (MSI)	Windows LAPS (built-in)
Installatiemethode	Aparte MSI + AD schema-uitbreiding	Ingebouwd sinds Windows 11 22H2 / Server 2019
Back-up naar Entra ID	Niet ondersteund	Volledig ondersteund
Back-up naar Active Directory	Ondersteund (klaartekst met ACL)	Ondersteund (versleuteld met DPAPI-NG)
Beheer via Intune CSP	Niet ondersteund	Volledig ondersteund
Post-authentication actions	Niet beschikbaar	Beschikbaar (0/1/3)
Password history	Niet beschikbaar	Beschikbaar bij AD-back-up (tot 12 versies)
PowerShell-module	AdmPwd.PS (afzonderlijk)	LAPS (ingebouwd)
Ondersteuning na 1 januari 2026	Alleen bestaande installs; geen nieuwe features	Actief ontwikkeld, standaardplatform

Als je nog legacy LAPS draait, is de migratie relatief pijnloos: Legacy Microsoft LAPS Emulation Mode respecteert je bestaande GPO's tot je klaar bent om over te schakelen. In mijn ervaring is de belangrijkste blocker meestal geen technische; het is auditors overtuigen dat de nieuwe versleutelingsflow AD-side voldoet aan compliance-baseline.

Veelgestelde vragen

Heb ik een aparte licentie nodig voor Windows LAPS?

Nee, Windows LAPS zelf is gratis en zit in Windows 10/11 en Windows Server. Voor uitrol via Intune heb je een Intune-licentie nodig, en Microsoft Entra ID P1 om wachtwoorden via de portal te lezen. Voor selfservice-scenario's via Graph API zijn geen aanvullende licenties vereist.

Kan Windows LAPS domein-accounts beheren?

Nee, LAPS beheert alleen lokale accounts op elk device afzonderlijk. Voor het beveiligen van domein-servicedesk-accounts gebruik je andere oplossingen zoals Group Managed Service Accounts (gMSA) of Privileged Access Management (PAM).

Wat gebeurt er als het device offline is als LAPS wil roteren?

De lokale wachtwoordrotatie gebeurt gewoon offline, want het nieuwe wachtwoord wordt lokaal ingesteld. De back-up naar Entra ID of AD wacht tot het device weer verbinding heeft en wordt dan uitgevoerd. Zolang de back-up niet gelukt is, blijft het oude wachtwoord zichtbaar in de portal.

Hoe vaak roteert Windows LAPS het wachtwoord standaard?

Standaard elke 30 dagen, tenzij je PasswordAgeDays anders configureert (minimum 1 dag, maximum 365). Bij ingeschakelde post-authentication actions kan de rotatie ook eerder plaatsvinden, namelijk direct na het gebruik van het wachtwoord plus de grace period.

Kan ik LAPS-wachtwoorden opvragen zonder toegang tot de Entra-portal?

Ja, met de PowerShell-commando Get-LapsAADPassword vanuit een beheerworkstation, of via de Microsoft Graph API-endpoint /directory/deviceLocalCredentials. Beide vereisen dezelfde RBAC-rol (Cloud Device Administrator, Intune Administrator of Helpdesk Administrator) en worden gelogd in de tenant audit logs.