Adım Adım Windows LAPS Nasıl Kurulur

Windows LAPS, büyük güvenlik avantajlarına sahip, güçlü ve artık kurulumu kolay bir yerel yönetici parola yönetimi çözümüdür. Windows LAPS, belirli veya dizininize katılmış tüm cihazlar için yerel yönetici şifrelerini dizininizde saklar (ister yerel ister Azure Active Directory olsun), bu şifrelerin kesin bir son kullanma ve rotasyon süresi olacaktır; bu da işlem sırasında devralınmayı ve yanal hareketi önlemeye yardımcı olacaktır. saldırılar. Bu, uzak yardım masası temsilcileriyle çalışırken olduğu gibi senaryolarda güvenliği büyük ölçüde artırabilir.

Windows LAPS, en yeni işletim sistemlerine doğrudan entegre olduğundan yöneticilerin bir kuruluş genelinde dağıtımını hızlı ve kolay hale getirir.

Bu eğitimde size Windows LAPS'ı Active Directory'ye katılmış cihazlarınıza adım adım nasıl dağıtacağınızı göstereceğim.

Windows LAPS nedir?

Windows LAPS, Microsoft'un eski çözümü Microsoft LAPS'ın halefidir. LAPS, Yerel Yyönetici Password Sçözümünün kısaltmasıdır ve yaptığı da tam olarak budur. Windows LAPS, yerel Active Directory veya Azure Active Directory'den yerel yönetici hesabı parolasını yönetmenize olanak tanıyan yeni bir Windows özelliğidir.

LAPS, bazı farklı senaryolarda yerel yönetici hesabı parolalarını yedeklemek ve yönetmek için kullanılabilir:

  • Yerel bir Active Directory'ye katılan cihazların yerel yönetici şifrelerini yerel Active Directory'ye yedekleyin.
  • Azure Active Directory'ye katılan cihazların yerel yönetici şifrelerini Azure Active Directory'ye yedekleyin.
  • Windows Server Etki Alanı Denetleyicileri için DSRM parolalarını yerel Active Directory'ye yedekleyin.

Bilmeniz gerekiyor!

Windows LAPS dağıtım ayarlarınız cihazlarınızın nasıl yönetildiğine bağlıdır! Cihazlarınız yalnızca yerel Active Directory'ye katılmışsa, şifreleri yalnızca yerel Active Directory'ye yedeklersiniz.

Benzer şekilde, cihazlarınız yalnızca Azure Active Directory'ye katılmışsa parolalarınızı yalnızca Azure Active Directory'ye yedekleyebilirsiniz.

Ancak cihazlarınız yerel Active Directory ve Azure Active Directory'ye hibrit olarak katılmışsa her iki konuma da yedeklenebilir, ancak ikisine birden yedeklenemez.

Windows LAPS için gereksinimler

Doğrudan işletim sisteminizde yerleşik olarak bulunan en son Windows LAPS sürümünü kullanmak için aşağıdaki işletim sistemlerinden birini çalıştırıyor olmanız gerekir:

İstemci İşletim Sistemleri

  • Windows 11 22H2 - 11 Nisan 2023 Güncellemesi
    Windows 11 21H2 - 11 Nisan 2023 Güncellemesi
    Windows 10 - 11 Nisan 2023 Güncellemesi

Windows Sunucu İşletim Sistemi

  • Windows Server 2022 - 11 Nisan 2023 Güncellemesi
  • Windows Server 2019 - 11 Nisan 2023 Güncellemesi

Windows LAPS'ı kullanmak için herhangi bir ek lisanslamaya gerek yoktur.

Adım Adım Windows LAPS Nasıl Kurulur

1. Etki alanı denetleyicinizde etki alanı yöneticisi olarak oturum açarak ve PowerShell'i açarak başlayın.

2. PowerShell açıldıktan sonra Active Directory şemasını güncellemek için aşağıdaki komutu çalıştırın.

Update-LapsAdSchema

Her şema güncellemesini manuel olarak incelemek ve onaylamak için Y girebilir veya tüm güncellemeleri otomatik olarak onaylamak için A girebilirsiniz.

Update komutunu çalıştırdığınızda şemaya aşağıdaki özellikler eklenecektir:

  • msLAPS-PasswordExpirationTime
  • msLAPS-Şifre
  • msLAPS-ŞifreliŞifre
  • msLAPS-EncryptedPasswordHistory
  • msLAPS-ŞifreliDSRMŞifresi
  • msLAPS-ŞifreliDSRMPasswordHistory

Komutu -verbose anahtarıyla yeniden çalıştırarak tüm güncellemelerin başarılı olduğunu doğrulayabilirsiniz.

Update-LapsAdSchema -verbose

Çıktıdan gerekli niteliklerin artık zaten mevcut olduğunu görebilirsiniz.

3. Daha sonra, LAPS'i yapılandırmak istediğimiz yönetilen cihazın, kendi şifresini güncellemek için doğru izne sahip olduğundan emin olmamız gerekir; bu, bilgisayar nesnesindeki ilgili msLAPS- niteliklerini güncelleyerek bunu yapar. Bu noktada özellikler boş olarak gösterilecektir:

Aşağıdaki komutu, bilgisayarlarınızın kuruluş birimini içeren en yüksek düzeydeki kuruluş biriminin benzersiz adına karşı çalıştırın. Örneğin, bunu Bilgisayarlar adlı bir alt kuruluş birimi içeren, çalıştırılan ve üst düzey kuruluş birimindeki izinler devralınan bulut ağımızOU'mda çalıştıracağım.

Set-LapsADComputerSelfPermission -Identity ourcloudnetwork

Bu komutu benzersiz olmayan bir kuruluş birimi adına çalıştırmayı denediğimde aşağıdaki hatanın ortaya çıkacağını görebilirsiniz:

Set-LapsADComputerSelfPermission : AD'deki 'bilgisayarların' kuruluş birimi için birden fazla sonuç 2 bulundu

3. Artık gerekli kullanıcıların Active Directory'deki LAPS şifresini okuyabildiğinden emin olmanız gerekir. Belirli gruplara istenen kuruluş birimine ilişkin LAPS şifrelerini okuma izni vermek için Set-LapsADReadPasswordPermission cmdlet'ini kullanın.

Örneğin, aşağıda İş İstasyonu Yöneticileri güvenlik grubuna, bulut ağımız kuruluş birimindeki bilgisayarlar için LAPS şifrelerini okuma izni veriyorum.

Set-LapsADReadPasswordPermission -Identity ourcloudnetwork `
-AllowedPrincipals "ourcloudnetwork\Workstation Admins"

Aynı şekilde izin vermek için de kullanabileceğiniz bazı benzer komutlar vardır; bunlar:

  • Set-LapsADPasswordExpirationTime - Belirli bir kullanıcı grubuna AD'deki LAPS parolasının sona erme süresini güncelleme izni verir
  • Set-LapsADResetPasswordPermission - Belirli bir kullanıcı grubuna AD'deki LAPS şifresini manuel olarak sıfırlama izni verir.

Belirli bir kuruluş birimindeki mevcut izinleri kontrol etmek için Find-LapsADExetendRights komutunu kullanabilirsiniz.

4. Artık LAPS yapılandırmasını yerel grup politikası aracılığıyla hedef cihazlarımıza dağıtabiliriz. Yeni bir GPO oluşturup onu hedef bilgisayarınızın kuruluş birimine bağlayarak başlayın.

5. Politikayı düzenleyin ve Bilgisayar Yapılandırması > Yönetim Şablonları > Sistem > LAPS bölümünde bulunan LAPS Ayarlarını bulun. En azından, şifreyi Active Directory'ye yedeklemek için Şifre yedekleme dizinini yapılandır'ı etkinleştirmeniz gerekir. .

Birkaç seçeneğin olduğunu görebilirsiniz, ancak bu ayar etkinleştirilmediğinde LAPS politikanızı etkili bir şekilde devre dışı bırakmış olursunuz.

6. LAPS ile yönetilecek yerel hesaba karar vermeniz gerekmektedir. LAPS sizin için yerel yönetici hesabı oluşturmayacaktır; ister yerleşik Yönetici hesabı (önerilmez) ister özel kullanıcı hesabı (önerilir) olsun, LAPS'in parolasını güncellemesi için yönetilen cihazlarda bu hesabın mevcut olduğundan emin olmanız gerekir. .

Yeni bir yerel kullanıcı hesabı oluşturmanın ve bunu yerel Yöneticiler grubuna eklemenin birçok yolu vardır, ancak bu yazıda ayrıntıları ele almayacağım, bazı seçenekler şunları içerir:

  • Grup İlkesi Tercihleri
  • Net Oturum Açma Komut Dosyası
  • Grup İlkesi Komut Dosyası
  • Uyum halinde
  • Manuel olarak
  • Uzak PowerShell betiği
  • 3. Taraf RMM Araçları

7. Hangi hesabı kullanacağınıza karar verdikten sonra Yönetilecek yönetici hesabının adı ayarını yapılandırın.

Yapılandırılacak son iki ayar şunlardır:

  • Şifre ayarları
  • Parolanın geçerlilik süresinin gerekli politikadan daha uzun olmasına izin verme

Parola ayarları ayarı, parola karmaşıklığını, parola yaşını ve parola uzunluğunu tanımlamanıza olanak tanır. Parolanın sona erme süresinin zorunlu kılma ilkesinden daha uzun olmasına izin verme ayarı, bir yöneticinin parolayı tanım ilkesinden daha uzun süre geçerli olacak şekilde ayarlamaya çalışması durumunda bunun etkilenmemesini sağlar. Örneğin şifre ayarlarını aşağıdaki gibi ayarlarsam, kullanıcı şifre son kullanma tarihini 5 gün olarak ayarlamaya çalışırsa varsayılan olarak 1 gün olacaktır.

8. Artık LAPS'yi yapılandırdınız! Etki alanı ağında olduğundan ve etkili olacağından emin olarak son kullanıcı cihazını yeniden başlatın.

GUI ile LAPS şifresi nasıl alınır?

Bir bilgisayarın Windows LAPS parolasını almak için bunu doğrudan Active Directory Kullanıcıları ve Bilgisayarları aracılığıyla yapabilirsiniz.

1. ADUC'u açın ve şifresini almak istediğiniz bilgisayar hesabına çift tıklayın.

2. LAPS sekmesini seçin, ardından Şifreyi göster'i seçin.

PowerShell ile LAPS şifresi nasıl alınır

Bazıları için daha basit bir çözüm, bir bilgisayarın LAPS şifresini almak için PowerShell'i kullanmak olabilir.

1. PowerShell'i açarak başlayın.

2. Aşağıdaki komutu çalıştırın ve hedef masaüstü adınızı belirtin.

Get-LapsADPAssword %targetDesktop% -AsPlainText

Çıktınız aşağıdaki gibi görünecek:

İlgili makaleler