Microsoft LAPS Yazılımını yükleme ve dağıtma

Bu yazıda Microsoft LAPS yazılımının nasıl kurulacağını ve dağıtılacağını göreceğiz. Yerel Yönetici Parolası Çözümü (LAPS), etki alanına katılmış bilgisayarların yerel hesap parolalarının yönetimini sağlar.

LAPS uygulandığında parolalar Active Directory'de saklanır ve ACL tarafından korunur. Yani yalnızca uygun kullanıcılar onu okuyabilir veya sıfırlanmasını isteyebilir.

Neden LAPS'a ihtiyacınız var? - Şifre yönetimi, özellikle büyük kuruluşlarda karmaşık bir iştir. LAPS, etki alanındaki her bilgisayarda aynı parolaya sahip ortak bir yerel hesabın kullanılmasıyla bu soruna bir çözüm sağlar.

LAPS, etki alanındaki her bilgisayarda ortak yerel yönetici hesabı için farklı, rastgele bir parola belirleyerek bu sorunu çözer. Çözümü kullanan etki alanı yöneticileri, yardım masası yöneticileri gibi hangi kullanıcıların şifreleri okuma yetkisine sahip olduğunu belirleyebilir.

Sonraki yazılarda LAPS için AD'nin nasıl yapılandırılacağını ve LAPS için GPO'nun nasıl yapılandırılacağını göreceğiz. Her iki yazıya da aşağıdaki linklere tıklayarak ulaşabilirsiniz.

Çok sayıda sunucunuzun ve iş istasyonunuzun olduğu bir senaryo hayal edin. Sunucuya giriş yapmak ve yönetimsel görevleri gerçekleştirmek için domain hesabını kullanmak mümkün olmadığında başınız büyük dertte demektir.

Yerel Yönetici Şifre Çözümü (LAPS)

LAPS olmadan hayal edilebilecek bazı senaryolar: -

a) Makinenin kurumsal ağ bağlantısı kesilir ve yönetici ayrıcalıklarına sahip önbelleğe alınmış kimlik bilgisi yoktur.

b) Makinenin etki alanıyla bağlantısı kesilir veya etki alanından yanlışlıkla ayrılır; dolayısıyla etki alanı kimlik bilgileri, sunucuda oturum açmak ve sunucuyu onarmak için kullanılamaz.

Bu tür destek senaryolarında, destek personelinin bilgisayarda oturum açabilmek ve gerekli yönetim görevlerini gerçekleştirebilmek için yerel Yönetici hesabının parolasını bilmesi gerekir.

Microsoft LAPS Önkoşulları

Microsoft LAPS'ı yüklemek için en az bir yönetim bilgisayarına ve en az bir istemci bilgisayara ihtiyacınız olacaktır. Benim durumumda Microsoft LAPS'ı etki alanı denetleyicime yüklüyorum.

Etki alanının parçası olan bazı istemci makineler var, LAPS yazılımını bu istemci makinelere de dağıtacağız.

Desteklenen İşletim Sistemi

İstemci İşletim Sistemi - Windows 10, 7, 8, 8.1
Sunucu İşletim Sistemi - Windows Server 2003, 2008, 2008 R2, 2012, 2012 R2
Active Directory - (AD şeması uzantısını gerektirir) Windows 2003 SP1 veya üzeri.
Yönetilen makineler: Windows Server 2003 SP2 veya üzeri ya da Windows Server 2003 x64 Edition SP2 veya üzeri.
Not: Itanium tabanlı makineler desteklenmez.
Yönetim araçları: .NET Framework 4.0 ve PowerShell 2.0 veya üzeri

Microsoft LAPS Yazılımını Yükleme ve Dağıtma

Şimdi LAPS fat client'ı, PowerShell modülünü ve Grup İlkesi şablonlarını yönetim bilgisayarına yükleyeceğiz.

Microsoft LAPS yazılımını indirmek için bu bağlantıya tıklayın. Hem 64 bit hem de 32 bit versiyonlarını indirebilirsiniz.

LAPS yazılımını indirdikten sonra msi dosyalarını sunucudaki paylaşılan bir klasöre kopyalayın. Benim durumumda C sürücüsünde paylaşılan bir klasör oluşturdum ve indirilen tüm dosyalar orada mevcut.

LAPS x64'e sağ tıklayın ve yükle'ye tıklayın.

LAPS kurulum sihirbazında İleri'yi tıklayın.

Yüklenecek tüm özellikleri seçeceğiz. İleri'yi tıklayın.

Yükle'yi tıklayın.

LAPS yazılımı artık yüklenmiştir. Bitir'i tıklayın.

LAPS'yi GPO kullanarak istemci makinelere dağıtma

Şimdi LAPS yazılımını istemci bilgisayara dağıtmak için bir GPO yapılandıracağız. LAPS'ı dağıtmak için komut dosyası oluşturma yöntemini de kullanabilirsiniz. Bunu komut dosyasıyla yazmak istiyorsanız sessiz kurulum yapmak için bu komut satırını kullanabilirsiniz:

msiexec /i LAPS.x64.msi /quiet

veya

msiexec /i LAPS.x86.msi /quiet

'nu yerel veya ağ yolu olarak değiştirmeniz yeterlidir.

Yönetilen istemcilere alternatif yükleme yöntemi, AdmPwd.dll dosyasını hedef bilgisayara kopyalamak ve şu komutu kullanmaktır: regsvr32.exe AdmPwd.dll

LAPS'yi dağıtmak için bir GPO oluşturun

Grup İlkesi Yönetimi konsolunu başlatın, etki alanına sağ tıklayın ve Bu etki alanında bir GPO oluştur ve buraya bağla'ya tıklayın. GPO'ya bir ad verin.

Yeni oluşturduğunuz GPO'yu sağ tıklayın ve Düzenle'yi tıklayın.

GPM düzenleyicisinde Bilgisayar Yapılandırması > Politikalar > Yazılım Ayarları'nı genişletin. Yazılım Kurulumu'nu sağ tıklayın ve Yeni > Paket'i tıklayın.

Dosyaların bulunduğu yola göz atın, LAPS yazılımını seçin. Dağıtım yöntemini Atandı olarak seçin ve Tamam'ı tıklayın.

Artık LAPS x64'ün içe aktarıldığını görüyorsunuz. X86 LAPS eklemeniz durumunda, paketi ekledikten sonra x86 paketini düzenleyerek Bu 32 bit X86 uygulamasını Win64 makinelerinde kullanılabilir yap seçeneğinin işaretini kaldırdığınızdan emin olun.

Bu seçeneği x86 paketi > Özellikler > Dağıtım'ı sağ tıkladığınızda bulacaksınız. Bu, 64 bit bilgisayarların 64 bit DLL'yi, 32 bit makinelerin ise 32 bit DLL'yi almasını sağlayacaktır. GPM düzenleyicisini kapatın.

İstemci makinelerde politikayı güncellemek için gpupdate komutunu çalıştırın.