Konfigurálja a Windows LAPS-t (Helyi rendszergazdai jelszómegoldás) az AD-ben

A Windows LAPS (Local Aadministrator Password Ssolution) lehetővé teszi, hogy központilag kezelje a helyi rendszergazdák jelszavait az AD tartomány számítógépein. Az aktuális helyi rendszergazdai jelszót a rendszer az Active Directory számítógépes objektumainak védett attribútumaiban tárolja, rendszeres időközönként automatikusan megváltozik, és a jogosult felhasználók megtekinthetik.

Ebben az útmutatóban bemutatjuk, hogyan konfigurálhatja és használhatja a Windows LAPS-t a helyi rendszergazdai jelszó kezeléséhez az AD-tartományhoz csatlakozó számítógépeken.

2023 áprilisáig manuálisan kell letöltenie a LAPS MSI telepítőfájlt, telepítenie kell az adminisztrátori vagy kliens összetevőket a számítógépekre, telepítenie kell az ADMX GPO-sablonokat a LAPS-hez, és ki kell bővítenie az AD sémát.

A LAPS új Windows-verziójához natív támogatást biztosító frissítések 2023 áprilisában jelentek meg. A LAPS használatához már nem kell manuálisan letöltenie és telepítenie az MSI-csomagot.

Az új beépített Windows LAPS áttekintése

A következő kumulatív frissítések 2023 áprilisában natív támogatást nyújtottak a Windows LAPS-hez:

• Windows 11 22H2 - KB5025239

• Windows 11 21H2 - KB5025224

• Windows 10 22H2 - KB5025221

• Windows Server 2022 - KB5025230

• Windows Server 2019 - KB5025229

A Windows LAPS újdonságai?

• Az új LAPS összes összetevője a Windows része;

• Lehetővé teszi a rendszergazdai jelszavak tárolását a helyszíni Active Directoryban vagy az Azure AD-ben;

• DSRM (Directory Services Restore Mode) jelszókezelés AD tartományvezérlőkön;

• Jelszavas titkosítás támogatása;

• Jelszótörténet;

• Engedélyezze a helyi rendszergazdai jelszó automatikus megváltoztatását, miután azt a számítógépre történő helyi bejelentkezéshez használták.

Ahogy fentebb említettük, többé nem kell manuálisan letöltenie és telepítenie a LAPS-ügyfelet vagy a Csoportházirend-ügyféloldali bővítményt (CSE). Az áprilisi frissítések telepítése után az összes szükséges LAPS-összetevő elérhető a Windows rendszerben.

A következő Windows LAPS felügyeleti eszközök állnak rendelkezésre:

• Új ADMX csoportházirend-fájl;

• Egy külön LAPS lap a számítógép tulajdonságai között az Active Directory Users and Computers (ADUC) konzoljában;

• Windows LAPS PowerShell modul;

• Külön napló az Eseménynaplóban: Alkalmazás- és szolgáltatásnaplók -> Microsoft -> Windows -> LAPS -> Működési.

  

A Microsoft megjegyzi, hogy az új LAPS GPO üzembe helyezése előtt le kell tiltania a csoportházirendeket, és el kell távolítania a LAPS (örökölt MSI) korábbi verziójának beállításait. Ehhez állítsa le a régi LAPS új telepítését, és távolítsa el az összes beállítást a következő beállításkulcsból: HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\State.

A következő eseményazonosítókkal rendelkező események megjelennek az Eseménynaplóban, ha a LAPS korábbi verzióját nem távolítják el:

• Eseményazonosító: 10033, LAPS - A gép régi LAPS-házirend-beállításokkal van konfigurálva, de úgy tűnik, hogy a régi LAPS-termék telepítve van. A konfigurált fiók jelszavát nem kezeli a Windows, amíg a régi terméket el nem távolítják. Alternatív megoldásként fontolóra veheti az újabb LAPS-házirend-beállítások konfigurálását.

• 10031. esemény, LAPS - A LAPS blokkolt egy külső kérést, amely megpróbálta módosítani az aktuális kezelői fiók jelszavát.

Helyi rendszergazdai jelszómegoldás telepítése az Active Directory tartományban

Megkezdheti a LAPS új verziójának üzembe helyezését, miután telepítette az új frissítéseket minden tartományvezérlőre.

A helyi rendszergazdai jelszómegoldás kezeléséhez használja a LAPS modul PowerShell-parancsmagjait. A következő parancsokat használhatja:

Get-Command -Module LAPS

Get-LapsAADPassword
Get-LapsDiagnostics
Find-LapsADExtendedRights
Get-LapsADPassword
Invoke-LapsPolicyProcessing
Reset-LapsPassword
Set-LapsADAuditing
Set-LapsADComputerSelfPermission
Set-LapsADPasswordExpirationTime
Set-LapsADReadPasswordPermission
Set-LapsADResetPasswordPermission
Update-LapsADSchema

A DC-k és ügyfelek frissítéseinek telepítése után el kell végeznie az AD-séma frissítését. Ez új attribútumokat ad hozzá. Futtassa a parancsot:

Update-LapsADSchema

Update-LapsADSchema : A local error occurred.

A következő attribútumok kerülnek hozzáadásra az AD-sémához:

msLAPS-PasswordExpirationTime
msLAPS-Password
msLAPS-EncryptedPassword
msLAPS-EncryptedPasswordHistory
msLAPS-EncryptedDSRMPassword
msLAPS-EncryptedDSRMPasswordHistory

Nyissa meg az ADUC konzolt (

dsa.msc

), válasszon ki egy számítógépet az AD-ben, és lépjen az AD objektum Attribútumszerkesztő lapjára. Ellenőrizze, hogy az objektumnak vannak-e elérhető új attribútumai.

Ez

msLAPS*

az attribútumok még nincsenek kitöltve.

Mostantól engedélyeznie kell a megadott szervezeti egységben (OU) lévő számítógépeknek az msLAPS* attribútumok frissítését az AD-fiók tulajdonságaikban.

Például lehetővé szeretném tenni a MUN-tárolóban lévő számítógépek számára az AD-attribútumokban tárolt jelszavak frissítését.

Set-LapsADComputerSelfPermission -Identity "OU=Computers,OU=MUN,OU=DE,DC=a-d,DC=com"

A PowerShell segítségével hozzunk létre egy csoportot, amely megtekintheti a helyi rendszergazdai jelszavakat a szervezeti egységhez tartozó számítógépeken:

New-ADGroup MUN-LAPS-Admins -path 'OU=Groups,OU=MUN,OU=DE,DC=a-d,DC=com' -GroupScope local -PassThru -Verbose
Add-AdGroupMember -Identity MUN-LAPS-Admins -Members a.morgan,b.krauz

Engedélyezzük ennek a csoportnak a helyi rendszergazdai jelszó megtekintését és visszaállítását:

$ComputerOU = "OU=Computers,OU=MUN,OU=DE,DC=a-d,DC=com"
Set-LapsADReadPasswordPermission -Identity $ComputerOU -AllowedPrincipals MUN-LAPS-Admins
Set-LapsADResetPasswordPermission -Identity $ComputerOU -AllowedPrincipals MUN-LAPS-Admins

A Find-LapsADExetendedRights paranccsal ellenőrizze a LAPS-attribútumok jelenlegi engedélyeit egy szervezeti egységben.

Konfigurálja a csoportházirend-objektumot a helyi rendszergazdai jelszavak módosításához

A LAPS-konfiguráció GPO-n keresztüli kezelésére szolgáló új adminisztrációs sablonok jelennek meg, amikor telepíti a legújabb frissítéseket a Windows rendszeren (%systemroot%\PolicyDefinitions\laps.admx).

Másolja a LAPS.admx fájlt a következő helyre, ha központi csoportházirend-objektum tárolót használ az ADMX sablonokhoz:

\\a-d.site\SysVol\a-d.site\Policies\PolicyDefinitions

A következő csoportházirend-objektum szakasz a LAPS-beállításokat tartalmazza: Számítógép konfigurációja -> Házirendek -> Felügyeleti sablonok -> Rendszer -> LAPS. A következő LAPS csoportházirend-beállítások érhetők el itt:

• Jelszavas biztonsági mentés engedélyezése DSRM-fiókokhoz

• Konfigurálja a titkosított jelszóelőzmények méretét

• Jelszó titkosítás engedélyezése

• Konfigurálja az engedélyezett jelszóleírókat

• A kezelendő rendszergazdai fiók neve

• Állítsa be a jelszó biztonsági mentési könyvtárát

• Ne hagyja, hogy a jelszó lejárati ideje hosszabb legyen, mint amit a szabályzat megkövetel

• Jelszó beállítások

• Hitelesítés utáni műveletek

Próbáljuk meg engedélyezni a minimális csoportházirend LAPS-beállításait az Active Directory tartományban

1. Nyissa meg a csoportházirend-kezelő konzolt (

   gpmc.msc

   ), hozzon létre egy új csoportházirend-objektumot, és kapcsolja össze a számítógépeket tartalmazó szervezeti egységhez;

2. Nyisson meg egy új csoportházirend-objektumot, és lépjen a LAPS-beállításokat tartalmazó szakaszhoz;

3. Engedélyezze a Jelszó biztonsági mentési könyvtárának konfigurálása házirendet, és itt állítsa be az Active Directory beállítást. Ez a házirend lehetővé teszi a rendszergazdai jelszó tárolását a számítógépfiók attribútumában a helyszíni Active Directoryban;

   A Windows LAPS azt is lehetővé teszi, hogy a jelszavakat az Azure Active Directoryban (AAD) tárolja a helyi ADDS helyett.

   

4. Ezután engedélyezze a Jelszóbeállítások lehetőséget. Itt meg kell adni a jelszó összetettségét, hosszát és a változtatási gyakoriság paramétereit;

   Alapértelmezés szerint a következő LAPS-jelszóbeállítások engedélyezettek: jelszó összetettsége, 14 karakteres jelszóhossz és 30 naponkénti jelszócsere.

5. 

   Adja meg annak a helyi rendszergazdai fióknak a nevét, amelynek jelszavát módosítani szeretné a Kezelni kívánt rendszergazdai fiók neve részben. Ha a beépített Windows rendszergazdát használja, írja be ide az Administrator nevet.

   A LAPS csoportházirend-objektum nem hoz létre helyi rendszergazdai fiókokat. Ha másik rendszergazdai fiókot szeretne használni, hozza létre azt számítógépeken a GPO vagy a PowerShell segítségével.

6. Indítsa újra a számítógépet az új csoportházirend-beállítások alkalmazásához.

LAPS: Szerezzen helyi rendszergazdai jelszót Windows rendszeren

A LAPS csoportházirendek megvalósítása után a Windows indításkor megváltoztatja a helyi rendszergazda jelszavát, majd beírja azt az msLAPS-Password protected attribútumba az AD számítógépobjektumán. A számítógép aktuális jelszavát az ADUC konzolban vagy a PowerShell használatával szerezheti be.

Nyissa meg az ADUC konzolt, és keresse meg azt a számítógépet, amelyhez a helyi rendszergazda aktuális jelszavát szeretné megtudni. Egy új LAPS lap jelent meg a Computer objektum tulajdonságai között.

A következő információk jelennek meg ezen a lapon:

• Jelenlegi LAPS jelszó lejárt

• LAPS helyi rendszergazdai fiók neve

• LAPS helyi rendszergazdai fiók jelszava

A PowerShell segítségével is lekérheti a számítógép jelenlegi rendszergazdai jelszavát:

Get-LapsADPassword mun-pc221 -AsPlainText

ComputerName : mun-pc221
DistinguishedName : CN=mun-pc221,OU=…
Account : administrator
Password : 3f!lD1.23!l32
PasswordUpdateTime : 4/24/2023 11:14:26 AM
ExpirationTimestamp : 5/24/2023 11:14:26 AM
Source : EncryptedPassword
DecryptionStatus : Success
AuthorizedDecryptor : WOSHUB\Domain Admins

Ezzel a jelszóval jelentkezhet be helyi rendszergazdaként erre a számítógépre.

A helyi rendszergazdai fiók LAPS jelszavának azonnali elforgatásához futtassa a parancsot:

Reset-LapsPassword

Ez azonnali jelszómódosítást kényszerít ki az aktuálisan bejelentkezett helyi rendszergazdai fiókhoz, és megírja az új jelszót az AD-nek.

A Windows Local Administrator Password Solution egy egyszerű, beépített szolgáltatás, amely lehetővé teszi a helyi rendszergazdai fiókok használatának biztonságát a tartományi számítógépeken. A LAPS az aktuális rendszergazdai jelszót egy biztonságos AD attribútumban tárolja, és rendszeresen módosítja az összes számítógépen.