A Windows LAPS-fiók jelszavának visszafejtésére vonatkozó engedély hiba kijavítása

A Windows LAPS megvalósítása után egyes rendszergazdák láthatják a LAPS helyi rendszergazdai fiókjának nevét és jelszavát, míg mások mindkét mezőt üresen látják. Miért történik ez, és mi a megoldás rá? Ebből a cikkből megtudhatja, hogyan javíthatja ki a Windows LAPS-fiók jelszavának dekódolási engedélyezési hibáját.

Nincs engedélye a fiók jelszavának visszafejtésére

Nézzük a megjelenő hibát.

Indítsa el az Active Directory Users and Computers (Active Directory Users and Computers) alkalmazást, és lépjen a számítógép tulajdonságaihoz, amelyeknek a LAPS jelszavát szeretné lekérni. Kattintson a LAPS fülre.

Megjelenik a figyelmeztetés:

A LAPS helyi rendszergazdai fiók neve és a LAPS helyi adminisztrátori fiók jelszava mező egyaránt üres. Mindazonáltal mindkét mezőt szeretnénk látni.

Miért történik ez, és hogyan lehet kijavítani a figyelmeztető üzenetet: A fiók jelszava titkosítva van, de nincs engedélye a visszafejtésére?

Megoldás a Windows LAPS-fiókhoz tartozó jelszó visszafejtésére vonatkozó engedély hiba

Ha konfigurálja a Windows LAPS-t, és Domain Admin jogosultságokkal rendelkező fiókkal jelentkezik be, akkor nem fogja látni ezt a figyelmeztetést.

A figyelmeztetés azért jelenik meg, mert a LAPS helyi rendszergazdai fiók nevének és jelszavának lekéréséhez bejelentkezett felhasználói fiók nem tartományi rendszergazda. Például az ügyfélszolgálati csapat felhasználói nem rendelkeznek Domain Admin jogosultságokkal.

A figyelmeztetés kijavításához létre kell hoznunk egy biztonsági csoportot az összes taggal. Ezután állítsa be a LAPS olvasási és visszaállítási engedélyeit az adott biztonsági csoporthoz. Utolsóként adja hozzá a csoportot a Windows LAPS Authorized password decryptors házirendhez.

1. lépés: Hozzon létre egy biztonsági csoportot

Hozzon létre egy biztonsági csoportot az Active Directory - felhasználók és számítógépek oldalon.

Adja hozzá a tagokat a csoporthoz. Adja hozzá a tartomány rendszergazdáit is, mivel ez a csoport lesz az egyetlen csoport, amely képes elolvasni és visszaállítani a LAPS jelszavát.

2. lépés: Szerezze be a biztonsági csoport SID-jét

Keresse meg a biztonsági csoport SID-jét a PowerShell segítségével.

Get-ADGroup "Windows_LAPS"

A kimenet a csoport SID azonosítójával együtt jelenik meg.

DistinguishedName : CN=Windows_LAPS,OU=AD,OU=Groups,OU=Company,DC=exoip,DC=local
GroupCategory     : Security
GroupScope        : Universal
Name              : Windows_LAPS
ObjectClass       : group
ObjectGUID        : 05c3f8a0-4f46-4441-ab41-796538b45a82
SamAccountName    : Windows_LAPS
SID               : S-1-5-21-1083891243-2317051905-4228426097-3278

Másolja ki a biztonsági csoport SID értékét, ezt a következő lépésekben kell használnia.

3. lépés: Állítsa be a LAPS-engedélyeket

Cserélje le a biztonsági csoport SID-jét mindkét parancsban, és futtassa a PowerShellben.

A Set-LapsADReadPasswordPermission parancsmag engedélyt ad a csoportnak a Windows Local Administrator Password Solution (LAPS) jelszavak lekérdezésére.

Set-LapsADReadPasswordPermission -Identity "OU=Company,DC=exoip,DC=local" -AllowedPrincipals @("S-1-5-21-1083891243-2317051905-4228426097-3278")

A Set-LapsADResetPasswordPermission parancsmag engedélyt ad a csoportnak a Windows Local Administrator Password Solution (LAPS) jelszó lejárati idejének beállítására.

Set-LapsADResetPasswordPermission -Identity "OU=Company,DC=exoip,DC=local" -AllowedPrincipals @("S-1-5-21-1083891243-2317051905-4228426097-3278")

4. lépés: Konfigurálja az engedélyezett jelszó-visszafejtő házirendet

Nyissa meg a Csoportházirend-kezelés elemet.

Lépjen a Számítógép konfigurációja > Irányelvek > Felügyeleti sablonok > Rendszer > LAPS menüpontra.

Adja hozzá a biztonsági csoport SID-jét az Authorized password decryptor mezőhöz.

Példánkban ez:

S-1-5-21-1083891243-2317051905-4228426097-3278

5. lépés: Ellenőrizze a munkáját

Indítsa el az Active Directory Users and Computers programot. Nyissa meg a számítógép tulajdonságait, és kattintson a LAPS fülre. A hiba már nem jelenik meg, és megjelenik a LAPS helyi rendszergazdai fiók neve és jelszava.

Ennyi!

További információ: A Microsoft Entra Password Protection konfigurálása helyszíni használatra »

Következtetés

Megtanulta, hogyan javíthatja ki a a fiók jelszava titkosított, de nincs engedélye a visszafejtésére. Először hozzon létre egy biztonsági csoportot, és adja hozzá az összes felhasználót, akinek látnia kell és vissza kell állítania a LAPS jelszavát. Ezt követően konfigurálja a LAPS csoportházirend Jogosult jelszó visszafejtőt, és adja hozzá a csoportot. Ne felejtsen el kijelentkezni, majd újra bejelentkezni, hogy az engedélyek érvénybe lépjenek.

Tetszett ez a cikk? Tetszhet az Active Directory biztonsági értékelési jelentésének elkészítése is. Ne felejtsen el követni minket és megosztani ezt a cikket.