Microsoft LAPS Kurulum ve Kurulum Kılavuzu

Bu kılavuzda Microsoft LAPS'in nasıl kurulacağını ve yapılandırılacağını öğreneceksiniz.

Microsoft Yerel Yönetici Parolası Çözümü (LAPS), etki alanına katılmış bilgisayarlarda yerel yönetici parolasını rastgele seçen ücretsiz bir araçtır. Yerel yönetici hesabının benzersiz bir parolaya sahip olmasını ve düzenli olarak değiştirilmesini sağlamanın en iyi yoludur.

Tüm bilgisayarlarda aynı yerel yönetici şifresine sahip olmak büyük bir güvenlik riskidir. Bu, bir bilgisayarda yerel yönetici şifresinin çalınması durumunda tüm bilgisayarların tehlikeye girebileceği anlamına gelir. Bu güvenlik sorununa karşı en iyi savunma, her bilgisayarda benzersiz bir yerel yönetici parolasının bulunmasıdır.

Bu makaledeki konular:

1. Microsoft LAPS'ı Yönetim Bilgisayarlarına Yükleme
2. Microsoft LAPS'ı İstemci Bilgisayarlara Yükleme
3. Active Directory Şemasını Genişlet
4. Bilgisayar Nesne İzinlerini Ayarla
5. Kullanıcı Haklarını Ayarlayın (Saklanan Parolanın Okuma İzinlerine İzin Verin)
6. Grup İlkesi Ayarları
7. Bilgisayarların Şifresi Nasıl Görüntülenir?

1. Adım: Microsoft LAPS Yazılımını Yönetim Bilgisayarlarına Kurun

LAPS yazılımının hem yönetim bilgisayarlarına hem de istemci bilgisayarlara yüklenmesi gerekir. Yönetim özellikleri LAPS'ı yapılandırmak ve yönetmek için kullanılacaktır.

LAPS yönetimi özelliklerini etki alanı denetleyicisine veya etki alanına katılan başka bir bilgisayara (Windows 10 veya 11 gibi) yükleyebilirsiniz.

1. LAPS yazılımını aşağıdaki bağlantıdan indirin.

https://www.microsoft.com/en-us/download/details.aspx?id=46899

İstediğiniz indirmeyi seçin. 64 bit sürümünü indireceğim.

2. Kurulumu başlatmak için LAPS.x64.msi dosyasına çift tıklayın.

3. Kurulum sihirbazı ekranında “İleri”ye tıklayın.

4. Lisans sözleşmesini kabul edin ve “İleri”ye tıklayın.

5. Tüm özellikleri yükleyin.

Yönetim Araçları'na tıklayın ve “Tüm özellik yerel sabit sürücüye yüklenecek” seçeneğini seçin ve “İleri” seçeneğine tıklayın.

6. Yükle'ye tıklayın.

Kurulum tamamlandığında “Son”a tıklayın.

Bu, yönetim bilgisayarı için LAPS yazılımının kurulumunu tamamlar. 3. adımda LAPS kurulumunu tamamlamak için yönetim bilgisayarına geri döneceğiz.

2. Adım. İstemci Bilgisayarlara Microsoft LAPS'ı Kurun

LAPS grup ilkesi istemci tarafı uzantısının (CSE) her bilgisayara yüklenmesi gerekecektir. Bu, 1. adımda kullanılan aynı yükleyici dosyası (LAPS.x64.msi) kullanılarak yapılır.

LAPS istemci yazılımını kurmanın birçok farklı yolu vardır. Yazılımı GPO kullanarak dağıtmak istiyorsanız Yazılımı GPO aracılığıyla Dağıtma makalesine bakın.

İstemci yazılımını manuel olarak yüklemek için LAPS.x64.msi dosyasını çalıştırın ve varsayılanları koruyun. Seçilmesi gereken tek özellik AdmPwd GPO Uzantısıdır.

Ayrıca bir komut dosyası, SCCM, PDQ veya başka herhangi bir yazılım dağıtım programını kullanarak da dağıtım yapabilirsiniz.

Burada bir komut dosyasıyla dağıtıma yönelik komutlar verilmiştir.

msiexec /q /i \\server\share\LAPS.x64.ms

Dosyayı bir dosya sunucusunda barındırmanın bir örneğini burada bulabilirsiniz.

msiexec /i \server\share\LAPS.x64.msi /quiet

3. Adım. Active Directory Şemasını Genişletin

Microsoft LAPS, Active Directory'deki bilgisayar nesneleri için iki yeni öznitelik kullanır.

• ms-Mcs-AdmPwd - Bu özellik bilgisayarın yönetici şifresini kaydeder.
• ms-Mcs-AdmPwdExpirationTime - Bu özellik, şifrenin geçerlilik süresi zaman damgasını kaydeder.

Bu yeni nitelikleri etkinleştirmek için Active Directory şemasının genişletilmesi gerekir.

Aşağıdaki adımları takip et.

1. Active Directory'deki Scheme admins grubunun üyesi olan bir hesapla oturum açmanız gerekecektir.

2. Aşağıdaki iki komutu çalıştırın:

Import-module AdmPwd.PS
Update-AdmPwdADSchema

Yukarıdaki ekran görüntüsündeki gibi bir başarı durumu elde etmelisiniz.

Artık bir bilgisayar nesnesinde iki yeni özelliği görmelisiniz. Active Directory'deki bir bilgisayarda öznitelik düzenleyicisini açarak bunu doğrulayabilirsiniz.

Şu anda bu niteliklerin hiçbir değeri yoktur ancak LAPS kurulumu tamamlandığında güncellenecektir.

4. Adım. Bilgisayar İzinlerini Ayarlayın

ms-Mcs-AdmPwd ve ms-Mcs-AdmPwdExpirationTime özniteliklerindeki yazma izinlerinin SELF yerleşik hesabı için değiştirilmesi gerekir. Bu, bilgisayarların yerel yönetici parolasının parolasını ve son kullanma zaman damgasını güncelleyebilmesi için gereklidir. Bu PowerShell kullanılarak yapılır.

1. Öncelikle bilgisayar nesnelerinizi içeren kuruluş birimini tanımlayın.

Örneğin, tüm bilgisayarlarım kuruluş birimi "ADPRO Bilgisayarları"ndadır

2. İzinleri ayarlamak için Set-AdmPwdComputerSelfPermission komutunu kullanın.

Not: Önce içe aktarma modülü ADMPwd.ps'yi çalıştırmanız gerekebilir.

Set-AdmPwdComputerSelfPermission -OrgUnit "ADPRO Computers"

Bu örnekte, OU “ADPRO Bilgisayarları” üzerindeki izinleri ayarlıyorum.

Bunu alt kuruluş birimlerinde çalıştırmanıza gerek yoktur.

5. Adım. Kullanıcı Haklarını Ayarlayın (Saklanan Parolanın Okuma İzinlerine İzin Verin)

Varsayılan olarak, bilgisayar hesaplarının saklanan parolasını yalnızca Domain Admins grubunun üyeleri okuyabilir. PowerShell ile ek kullanıcılar veya gruplar ekleyebilirsiniz.

Bu örnekte, yerel yöneticinin şifresini görüntüleme iznine sahip olmak için it_wrk_admins grubunu ekleyeceğim.

PowerShell'i açın ve aşağıdaki komutu çalıştırın.

Set-AdmPwdReadPasswordPermission -Identity "ADPro Computers" -AllowedPrincipals "it_wrk_admins"

Hangi kullanıcıların veya grupların izne sahip olduğunu görüntülemek için aşağıdaki komutu çalıştırın.

   Find-AdmPwdExtendedRights -Identity "ADPro Computers"

Yukarıda etki alanı yöneticilerini görebilirsiniz ve it_wrk_admins grubunun genişletilmiş hak izinleri vardır.

Yalnızca onaylı BT Yöneticilerinin parolayı okuma iznine sahip olmasına izin vermek istiyorsunuz. Normal kullanıcılara bu erişime izin verilmemelidir. Hangi kullanıcıların parolayı görüntüleme hakkına sahip olduğunu görmek için Find-AdmPwdExtishedRights komutunu kullanın.

Adım 6. Grup İlkesi Ayarları

Son yapılandırma adımı, LAPS ayarları için bir grup ilkesi oluşturmaktır.

İpucu: Yapılandırılmış bir grup ilkesi merkezi deponuz varsa, öncelikle AdmPwd.admx ve AdmPwd.adml dosyalarını c:\Windows\PolicyDefinitions konumundan merkezi deponuza kopyalamanız gerekecektir.

1. Grup ilkesi yönetim konsolunu açın.

2. Bilgisayarlarınızı içeren kuruluş biriminde yeni bir GPO oluşturun.

GPO'ya bir ad verin. Bilgisayarım - LAPS'ı aradım.

3. GPO'yu düzenleyin

Aşağıdaki politika ayarlarına göz atın Bilgisayar Yapılandırması -> Politikalar -> Yönetim Şablonları -> LAPS.

Yerel yönetici şifre yönetimini etkinleştir politikasını tıklayın.

Etkinleştir'e ve ardından Tamam'a tıklayın.

Şifre Ayarları politikasını tıklayın.

Etkinleştir'e tıklayın. Daha sonra şifre karmaşıklığı ayarını yapılandırın ve Tamam'a tıklayın.

LAPS'in yönetmesini istediğiniz özel bir yerel yönetici hesabınız varsa Yönetilecek yönetici hesabının adı'nı etkinleştirebilirsiniz.

İpucu. Yerleşik yönetici hesabı için bu politikayı yeniden adlandırmış olsanız bile yapılandırmanıza gerek yoktur. Bu politika yalnızca özel yerel yönetici hesapları içindir.

Örneğin, IT_Admin adında özel bir yerel yönetici hesabım olsaydı, LAPS'in bunu yönetmesi için bu politikayı kullanabilirdim.

Bu, Microsoft Laps'ın yapılandırma adımlarını tamamlar.

Yerel Yönetici Parolasını Görüntüleme

Yönetim bilgisayarınızda LAPS UI programını açın.

Bir bilgisayar adı girin ve ara'yı tıklayın.

Yukarıda PC1 için yerel yönetici şifresini ve şifrenin süresinin ne zaman dolduğunu görebilirsiniz.

PowerShell'i kullanma.

Get-AdmPwdPassword PC1

Parolayı Active Directory'de, bilgisayarı açıp Özellik Düzenleyicisi'ne tıklayarak da görüntüleyebilirsiniz. Bununla ilgili tek sorun, şifrenin geçerlilik süresinin okunabilir bir formatta olmamasıdır.

Başka bir seçenek de AD Pro Araç Setini kullanmaktır. Tüm bilgisayarlarda LAPS şifresini alacak bir LAPS şifre raporu içerir. Bu raporu çalıştırmak için Raporlar -> Güvenlik -> LAPS şifreleri seçeneğine tıklayın.

Umarım bu makaleyi faydalı bulmuşsunuzdur. Bir yorumunuz varsa lütfen aşağıya yazın.

İlgili İçerik

Windows LAPS'a Genel Bakış

Windows LAPS'taki temel kavramlar

PowerShell Yerel Yöneticileri Listeleme

Yerel Yönetici Hakları Nasıl Kaldırılır