Поиск по сайту:

Active Directory: Установка и конфигурация решения местного администратора паролей (LAPS)

Этот пошаговый гид демонстрирует интеграцию LAPS в среде Active Directory. Пароли пользователей Active Directory хранятся централизованно на всех контроллерах домена. Что насчет локальной учетной записи администратора? Многие из нас используют один и тот же пароль на всех компьютерах. Это настоящий кошмар с точки зрения безопасности. LAPS может централизованно хранить и изменять пароли локальных администраторов.

Скачивание установщика LAPS

LAPS должен быть установлен на сервере управления (в моем случае это контроллер домена Windows Server 2016). Сначала мы должны скачать установщик LAPS: https://www.microsoft.com/en-us/download/details.aspx?id=46899

Установка LAPS на сервере управления

Во время установки важно выбрать все функции, иначе будут установлены только клиентские расширения (которые также необходимы для клиентов).

Модификация схемы Active Directory

К компьютерным объектам необходимо добавить два атрибута:

  • msMcsAdmPwd
  • время_истечения_пароля_admPwd

Оба атрибута можно создать с помощью команд LAPS в PowerShell. Пользователь должен быть членом группы администраторов схемы Active Directory. Откройте Windows PowerShell и выполните

Import-Module AdmPwd.PS
Update-AdmPwdADSchema

Настройка разрешений

Компьютеры домена должны иметь права на запись, чтобы обновить пароль локального администратора. В моем случае я предоставляю доступ всем компьютерам организационного подразделения «Рабочие станции».

Set-AdmPwdComputerSelfPermission -Identity Workstations

Теперь нам нужно настроить разрешения для группы. Все члены этой группы смогут централизованно читать локальный пароль каждого компьютера. Я предоставляю «разрешение на чтение пароля» для группы доменных администраторов.

Set-AdmPwdReadPasswordPermission -OrgUnit Workstations -AllowedPrincipals "Domain-Admins"

Далее мы настраиваем право на сброс пароля локальной учетной записи администратора. Как и раньше, я разрешаю это для всех администраторов домена.

Set-AdmPwdResetPasswordPermission -OrgUnit Workstations -AllowedPrincipals "Domain-Admins"

Установка LAPS на клиентских компьютерах вручную

Для использования LAPS необходимо установить расширения AdmPwd GPO на все клиентские компьютеры. Это можно сделать либо вручную, либо через GPO. В моем случае я вручную устанавливаю ранее используемый инструмент на системе Windows 10. Все, что вам нужно сделать, это установить только клиентские расширения.

Установка LAPS на клиентских компьютерах с использованием установки программного обеспечения через групповую политику (оптом)

Что ж, устанавливать LAPS вручную на сотне или тысяче компьютеров скучно. В рабочей среде вы можете установить программное обеспечение с помощью групповой политики. Это займет некоторое время. Вы готовы? 😉

Создайте общую папку

Сначала нам нужно создать общую папку и поместить в нее файлы установки. Все, что нам нужно, это PowerShell и пакет установки. Чтобы создать общую папку на сервере управления, откройте Windows PowerShell и выполните

New-Item -Itemtype Directory -Name LAPS -Path C:\

Как только папка будет создана, активируйте общий доступ.

New-SmbShare -Name LAPS -Path C:\LAPS\

Теперь скопируйте установочный пакет в папку.

Настройте групповую политику для установки программного обеспечения

На контроллере домена откройте консоль управления группами (gpmc.msc). Создайте новую групповую политику, следуя моим скриншотам.

Укажите имя для GPO.

Нажмите на Изменить.

Перейдите в Конфигурацию компьютера – Политики – Настройки программного обеспечения. Щелкните правой кнопкой мыши на Установке программного обеспечения и выберите Новый – Пакет.

Обратите внимание на путь. Вам необходимо указать UNC-путь к ранее настроенной общей папке. Не начинайте поиск по вашему компьютеру, чтобы найти пакет! Введите путь к папке вручную, используя формат \\ИмяСервера\ИмяОбщейПапки\LAPS.x64.msi и нажмите Открыть.

Далее выберите Назначено.

Пересмотрите свою работу.

Наконец, свяжите GPO с организационной единицей. Убедитесь, что вы связываете его с OU ваших клиентских компьютеров.

Для тестирования выполните команду gpupdate /force на одном из ваших клиентских компьютеров. Затем перезагрузите компьютер. После перезагрузки проверьте "Программы и компоненты".

Давайте перейдем к настройке последних этапов.

Включение LAPS на всех клиентских компьютерах

Последний шаг - создать GPO для LAPS. На контроллере домена откройте консоль управления групповыми политиками (gpmc.msc) и создайте новый GPO с именем LAPS. Откройте GPO и перейдите к Конфигурации компьютера - Политики - Административные шаблоны - LAPS. Включите «Включить управление паролем локального администратора».

Важное примечание: Вам может потребоваться изменить настройку «Имя учетной записи администратора для управления», если имя вашей локальной учетной записи администратора на вашем клиентском компьютере не «администратор», а, например, «админ».

Затем свяжите GPO с организационным подразделением.

Запустите gpupdate /force на всех клиентских компьютерах. Вы можете сделать это удаленно: PowerShell: Принудительное обновление gpupdate на всех доменных компьютерах.

Показ локальных паролей администраторов

На сервере управления откройте LAPS.

Введите имя компьютера одного из ваших клиентов.

В качестве альтернативы откройте Windows PowerShell и выполните

Import-Module AdmPwd.PS
Get-AdmPwdPassword -ComputerName ComputerName | Format-List

Расширенные настройки

Изменение политик паролей

С помощью LAPS вы можете применять политики паролей локального администратора. Откройте ранее созданную GPO и настройте соответствующие параметры.

Веселитесь с LAPS!

Больше информации о LAPS здесь: Technet: «Решение для паролей локальных администраторов».