กำหนดค่า Windows LAPS (โซลูชันรหัสผ่านผู้ดูแลระบบภายใน) ในโฆษณา

Windows LAPS (Local Administrator Password Solution) ช่วยให้คุณสามารถ จัดการรหัสผ่านจากส่วนกลางสำหรับผู้ดูแลระบบภายในคอมพิวเตอร์ในโดเมน AD ของคุณ รหัสผ่านของผู้ดูแลระบบภายในปัจจุบันถูกจัดเก็บไว้ในแอตทริบิวต์ที่ได้รับการป้องกันของวัตถุคอมพิวเตอร์ใน Active Directory ซึ่งจะเปลี่ยนโดยอัตโนมัติเป็นประจำ และผู้ใช้ที่ได้รับอนุญาตสามารถดูได้

ในคู่มือนี้ เราจะแสดงวิธีกำหนดค่าและใช้ Windows LAPS เพื่อจัดการรหัสผ่านของผู้ดูแลระบบภายในบนคอมพิวเตอร์ที่เข้าร่วมกับโดเมน AD

จนถึงเดือนเมษายน 2023 คุณควรดาวน์โหลดไฟล์การติดตั้ง LAPS MSI ด้วยตนเอง ปรับใช้ส่วนประกอบของผู้ดูแลระบบหรือไคลเอนต์กับคอมพิวเตอร์ ติดตั้งเทมเพลต ADMX GPO สำหรับ LAPS และขยาย AD schema

การอัปเดตที่เพิ่มการรองรับดั้งเดิมสำหรับ LAPS เวอร์ชันใหม่ใน Windows เผยแพร่ในเดือนเมษายน 2023 คุณไม่จำเป็นต้องดาวน์โหลดและติดตั้งแพ็คเกจ MSI ด้วยตนเองอีกต่อไปเพื่อใช้ LAPS

ใหม่ ภาพรวม Windows LAPS ในตัว

การอัปเดตแบบสะสมต่อไปนี้ในเดือนเมษายน 2023 ได้เพิ่มการสนับสนุนดั้งเดิมสำหรับ Windows LAPS:

• Windows 11 22H2 - KB5025239

• Windows 11 21H2 - KB5025224

• วินโดวส์ 10 22H2 — KB5025221

• Windows Server 2022 - KB5025230

• Windows Server 2019 - KB5025229

มีอะไรใหม่ใน Windows LAPS

• ส่วนประกอบทั้งหมดของ LAPS ใหม่เป็นส่วนหนึ่งของ Windows;

• อนุญาตให้จัดเก็บรหัสผ่านของผู้ดูแลระบบใน Active Directory ในสถานที่หรือใน Azure AD

• การจัดการรหัสผ่าน DSRM (Directory Services Restore Mode) บนตัวควบคุมโดเมน AD

• รองรับการเข้ารหัสรหัสผ่าน

• ประวัติรหัสผ่าน

• อนุญาตให้เปลี่ยนรหัสผ่านผู้ดูแลระบบภายในโดยอัตโนมัติหลังจากใช้เพื่อเข้าสู่ระบบคอมพิวเตอร์ภายในเครื่อง

ดังที่เรากล่าวไว้ข้างต้น คุณไม่จำเป็นต้องดาวน์โหลดและติดตั้งไคลเอนต์ LAPS หรือส่วนขยายฝั่งไคลเอ็นต์ของนโยบายกลุ่ม (CSE) ด้วยตนเองอีกต่อไป คอมโพเนนต์ LAPS ที่จำเป็นทั้งหมดมีอยู่ใน Windows หลังจากที่คุณติดตั้งการอัปเดตประจำเดือนเมษายน

มีเครื่องมือการจัดการ Windows LAPS ดังต่อไปนี้:

• ไฟล์นโยบายกลุ่ม ADMX ใหม่

• แท็บ LAPS แยกต่างหากในคุณสมบัติของคอมพิวเตอร์ในคอนโซล Active Directory Users and Computers (ADUC)

• โมดูล Windows LAPS PowerShell;

• แยกบันทึกใน Event Viewer: Application and Service Logs -> Microsoft -> Windows -> LAPS -> Operational

  

Microsoft สังเกตว่าคุณต้องปิดใช้งาน Group Policies และลบการตั้งค่าจาก LAPS (MSI เดิม) เวอร์ชันก่อนหน้าก่อนที่จะปรับใช้ LAPS GPO ใหม่ ในการดำเนินการนี้ ให้หยุดการติดตั้ง LAPS เดิมใหม่ และลบการตั้งค่าทั้งหมดในคีย์รีจิสทรีต่อไปนี้ HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\State

เหตุการณ์ที่มี ID เหตุการณ์ต่อไปนี้จะปรากฏใน Event Viewer ถ้า LAPS เวอร์ชันเดิมไม่ถูกลบออก:

• รหัสเหตุการณ์ 10033, LAPS — เครื่องได้รับการกำหนดค่าด้วยการตั้งค่านโยบาย LAPS แบบเดิม แต่ดูเหมือนว่าผลิตภัณฑ์ LAPS แบบเดิมได้รับการติดตั้งแล้ว รหัสผ่านของบัญชีที่กำหนดค่าจะไม่ถูกจัดการโดย Windows จนกว่าจะถอนการติดตั้งผลิตภัณฑ์เดิม หรือคุณอาจพิจารณากำหนดการตั้งค่านโยบาย LAPS ที่ใหม่กว่า

• เหตุการณ์ 10031 LAPS — LAPS บล็อกคำขอภายนอกที่พยายามแก้ไขรหัสผ่านของบัญชีผู้จัดการปัจจุบัน

การปรับใช้โซลูชันรหัสผ่านผู้ดูแลระบบภายในในโดเมน Active Directory

คุณสามารถเริ่มใช้ LAPS เวอร์ชันใหม่ได้หลังจากที่คุณติดตั้งการอัปเดตใหม่ใน ตัวควบคุมโดเมนทั้งหมด

ในการจัดการ Local Administrator Password Solution ให้ใช้ PowerShell cmdlets จากโมดูล LAPS คุณสามารถใช้คำสั่งต่อไปนี้:

Get-Command -Module LAPS

Get-LapsAADPassword
Get-LapsDiagnostics
Find-LapsADExtendedRights
Get-LapsADPassword
Invoke-LapsPolicyProcessing
Reset-LapsPassword
Set-LapsADAuditing
Set-LapsADComputerSelfPermission
Set-LapsADPasswordExpirationTime
Set-LapsADReadPasswordPermission
Set-LapsADResetPasswordPermission
Update-LapsADSchema

หลังจากติดตั้งการอัปเดตใน DC และไคลเอนต์ คุณต้องทำการอัปเดต AD schema สิ่งนี้จะเพิ่มแอตทริบิวต์ใหม่ เรียกใช้คำสั่ง:

Update-LapsADSchema

Update-LapsADSchema : A local error occurred.

แอตทริบิวต์ต่อไปนี้จะถูกเพิ่มลงใน AD schema:

msLAPS-PasswordExpirationTime
msLAPS-Password
msLAPS-EncryptedPassword
msLAPS-EncryptedPasswordHistory
msLAPS-EncryptedDSRMPassword
msLAPS-EncryptedDSRMPasswordHistory

เปิดคอนโซล ADUC (

dsa.msc

) เลือกคอมพิวเตอร์เครื่องใดก็ได้ใน AD แล้วไปที่แท็บ Attribute Editor ของ AD object ตรวจสอบว่าตอนนี้มีแอตทริบิวต์ใหม่ที่พร้อมใช้งานแล้ว

นี้

msLAPS*

แอตทริบิวต์ยังไม่ได้รับการเติมข้อมูล

ขณะนี้ คุณต้องอนุญาตให้คอมพิวเตอร์ในหน่วยองค์กร (OU) ที่ระบุอัปเดตแอตทริบิวต์ msLAPS* ในคุณสมบัติของบัญชี AD

ตัวอย่างเช่น ฉันต้องการอนุญาตให้คอมพิวเตอร์ในคอนเทนเนอร์ MUN อัปเดตรหัสผ่านที่จัดเก็บไว้ในแอตทริบิวต์ AD

Set-LapsADComputerSelfPermission -Identity "OU=Computers,OU=MUN,OU=DE,DC=a-d,DC=com"

มาใช้ PowerShell เพื่อสร้างกลุ่มที่สามารถดูรหัสผ่านผู้ดูแลระบบภายในบนคอมพิวเตอร์ใน OU นี้:

New-ADGroup MUN-LAPS-Admins -path 'OU=Groups,OU=MUN,OU=DE,DC=a-d,DC=com' -GroupScope local -PassThru -Verbose
Add-AdGroupMember -Identity MUN-LAPS-Admins -Members a.morgan,b.krauz

เราจะอนุญาตให้กลุ่มนี้ดูและรีเซ็ตรหัสผ่านผู้ดูแลระบบภายใน:

$ComputerOU = "OU=Computers,OU=MUN,OU=DE,DC=a-d,DC=com"
Set-LapsADReadPasswordPermission -Identity $ComputerOU -AllowedPrincipals MUN-LAPS-Admins
Set-LapsADResetPasswordPermission -Identity $ComputerOU -AllowedPrincipals MUN-LAPS-Admins

ใช้คำสั่ง ค้นหา LapsADExentendedRights เพื่อตรวจสอบสิทธิ์ปัจจุบันสำหรับแอตทริบิวต์ LAPS ใน OU

กำหนดค่า GPO เพื่อเปลี่ยนรหัสผ่านผู้ดูแลระบบภายใน

เทมเพลตการดูแลระบบชุดใหม่สำหรับจัดการการกำหนดค่า LAPS ผ่าน GPO จะปรากฏขึ้นเมื่อคุณติดตั้งการอัปเดตล่าสุดบน Windows (%systemroot%\PolicyDefinitions\laps.admx)

คัดลอก LAPS.admx ไปยังตำแหน่งต่อไปนี้ หากคุณใช้ที่เก็บ Central GPO สำหรับเทมเพลต ADMX:

\\a-d.site\SysVol\a-d.site\Policies\PolicyDefinitions

ส่วน GPO ถัดไปประกอบด้วยตัวเลือก LAPS: การกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> เทมเพลตการดูแลระบบ -> ระบบ -> LAPS ตัวเลือกนโยบายกลุ่ม LAPS ต่อไปนี้มีอยู่ที่นี่:

• เปิดใช้งานการสำรองรหัสผ่านสำหรับบัญชี DSRM

• กำหนดค่าขนาดของประวัติรหัสผ่านที่เข้ารหัส

• เปิดใช้งานการเข้ารหัสรหัสผ่าน

• กำหนดค่าตัวอธิบายรหัสผ่านที่ได้รับอนุญาต

• ชื่อบัญชีผู้ดูแลระบบที่จะจัดการ

• กำหนดค่าไดเรกทอรีสำรองรหัสผ่าน

• อย่าปล่อยให้เวลาหมดอายุของรหัสผ่านนานกว่าที่กำหนดโดยนโยบาย

• การตั้งค่ารหัสผ่าน

• การดำเนินการหลังการตรวจสอบสิทธิ์

ลองเปิดใช้งานการตั้งค่า LAPS ของนโยบายกลุ่มขั้นต่ำสำหรับโดเมน Active Directory

1. เปิดคอนโซลการจัดการนโยบายกลุ่ม (

   gpmc.msc

   ) สร้าง GPO ใหม่และเชื่อมโยงกับ OU ที่มีคอมพิวเตอร์

2. เปิด GPO ใหม่และไปที่ส่วนที่มีตัวเลือก LAPS

3. เปิดใช้งานนโยบาย กำหนดค่าไดเรกทอรีสำรองรหัสผ่าน และตั้งค่า Active Directory ที่นี่ นโยบายนี้อนุญาตให้จัดเก็บรหัสผ่านผู้ดูแลระบบในแอตทริบิวต์บัญชีคอมพิวเตอร์ใน Active Directory ภายในองค์กร

   Windows LAPS ยังอนุญาตให้คุณจัดเก็บรหัสผ่านใน Azure Active Directory (AAD) แทนใน ADDS ในเครื่อง

   

4. จากนั้นเปิดใช้งานตัวเลือก การตั้งค่ารหัสผ่าน ที่นี่คุณต้องระบุความซับซ้อนของรหัสผ่าน ความยาว และพารามิเตอร์ความถี่ในการเปลี่ยน

   การตั้งค่ารหัสผ่าน LAPS ต่อไปนี้เปิดใช้งานโดยค่าเริ่มต้น: ความซับซ้อนของรหัสผ่าน ความยาวของรหัสผ่าน 14 อักขระ และรหัสผ่านเปลี่ยนทุกๆ 30 วัน

5. 

   ระบุชื่อบัญชีผู้ดูแลระบบท้องถิ่นที่คุณต้องการเปลี่ยนรหัสผ่านในชื่อบัญชีผู้ดูแลระบบที่จะจัดการ หากคุณใช้ Windows Administrator ในตัว ให้พิมพ์ Administrator ที่นี่

   LAPS GPO ไม่ได้สร้างบัญชีผู้ดูแลระบบภายใน หากคุณต้องการใช้บัญชีผู้ดูแลระบบอื่น ให้สร้างขึ้นบนคอมพิวเตอร์โดยใช้ GPO หรือ PowerShell

6. รีสตาร์ทคอมพิวเตอร์เพื่อใช้การตั้งค่า GPO ใหม่

LAPS: รับรหัสผ่านผู้ดูแลระบบภายในบน Windows

หลังจากใช้นโยบายกลุ่ม LAPS แล้ว Windows จะเปลี่ยนรหัสผ่านของผู้ดูแลระบบภายในเมื่อเริ่มต้นระบบ จากนั้นจึงเขียนรหัสผ่านนั้นไปยังแอตทริบิวต์ที่ป้องกันด้วยรหัสผ่าน msLAPS บนวัตถุคอมพิวเตอร์ใน AD คุณสามารถรับรหัสผ่านปัจจุบันสำหรับคอมพิวเตอร์ในคอนโซล ADUC หรือโดยใช้ PowerShell

เปิดคอนโซล ADUC และค้นหาคอมพิวเตอร์ที่คุณต้องการค้นหารหัสผ่านปัจจุบันของผู้ดูแลระบบภายใน แท็บ LAPS ใหม่ปรากฏในคุณสมบัติวัตถุคอมพิวเตอร์

ข้อมูลต่อไปนี้จะแสดงบนแท็บนี้:

• รหัสผ่าน LAPS ปัจจุบันหมดอายุ

• ชื่อบัญชีผู้ดูแลระบบท้องถิ่นของ LAPS

• รหัสผ่านบัญชีผู้ดูแลระบบท้องถิ่นของ LAPS

คุณยังสามารถใช้ PowerShell เพื่อรับรหัสผ่านผู้ดูแลระบบปัจจุบันของคอมพิวเตอร์:

Get-LapsADPassword mun-pc221 -AsPlainText

ComputerName : mun-pc221
DistinguishedName : CN=mun-pc221,OU=…
Account : administrator
Password : 3f!lD1.23!l32
PasswordUpdateTime : 4/24/2023 11:14:26 AM
ExpirationTimestamp : 5/24/2023 11:14:26 AM
Source : EncryptedPassword
DecryptionStatus : Success
AuthorizedDecryptor : WOSHUB\Domain Admins

ใช้รหัสผ่านนี้เพื่อเข้าสู่ระบบในเครื่องคอมพิวเตอร์เครื่องนี้ในฐานะผู้ดูแลระบบ

ในการหมุนเวียนรหัสผ่าน LAPS สำหรับบัญชีผู้ดูแลระบบภายในโดยทันที ให้รันคำสั่ง:

Reset-LapsPassword

การดำเนินการนี้จะบังคับให้เปลี่ยนรหัสผ่านทันทีสำหรับบัญชีผู้ดูแลระบบภายในที่บันทึกไว้ในปัจจุบัน และเขียนรหัสผ่านใหม่ลงใน AD

โซลูชันรหัสผ่านสำหรับผู้ดูแลระบบภายในของ Windows เป็นคุณสมบัติในตัวที่เรียบง่ายซึ่งช่วยให้คุณปรับปรุงความปลอดภัยของการใช้บัญชีผู้ดูแลระบบภายในบนคอมพิวเตอร์โดเมน LAPS เก็บรหัสผ่านผู้ดูแลระบบปัจจุบันไว้ในแอตทริบิวต์ AD ที่ปลอดภัย และเปลี่ยนรหัสผ่านในคอมพิวเตอร์ทุกเครื่องเป็นประจำ