คู่มือการติดตั้งและตั้งค่า Microsoft LAPS

ในคู่มือนี้ คุณจะได้เรียนรู้วิธีการติดตั้งและกำหนดค่า Microsoft LAPS

Microsoft Local Administrator Password Solution (LAPS) เป็นเครื่องมือฟรีที่สุ่มรหัสผ่านผู้ดูแลระบบภายในเครื่องคอมพิวเตอร์ที่เข้าร่วมโดเมน เป็นวิธีที่ดีที่สุดเพื่อให้แน่ใจว่าบัญชีผู้ดูแลระบบภายในมีรหัสผ่านเฉพาะและมีการเปลี่ยนแปลงเป็นประจำ

การมีรหัสผ่านผู้ดูแลระบบภายในเดียวกันในคอมพิวเตอร์ทุกเครื่องถือเป็นความเสี่ยงด้านความปลอดภัยอย่างมาก ซึ่งหมายความว่าหากรหัสผ่านผู้ดูแลระบบภายในถูกขโมยในคอมพิวเตอร์เครื่องเดียว คอมพิวเตอร์ทุกเครื่องอาจถูกบุกรุกได้ การป้องกันที่ดีที่สุดสำหรับปัญหาด้านความปลอดภัยนี้คือการมีรหัสผ่านผู้ดูแลระบบภายในเครื่องที่ไม่ซ้ำกันในคอมพิวเตอร์แต่ละเครื่อง

หัวข้อในบทความนี้:

1. ติดตั้ง Microsoft LAPS บนคอมพิวเตอร์การจัดการ
2. ติดตั้ง Microsoft LAPS บนคอมพิวเตอร์ไคลเอนต์
3. ขยาย Schema ของ Active Directory
4. ตั้งค่าการอนุญาตวัตถุคอมพิวเตอร์
5. ตั้งค่าสิทธิ์ผู้ใช้ (อนุญาตให้อ่านสิทธิ์ของรหัสผ่านที่เก็บไว้)
6. การตั้งค่านโยบายกลุ่ม
7. วิธีดูรหัสผ่านคอมพิวเตอร์

ขั้นตอนที่ 1: ติดตั้งซอฟต์แวร์ Microsoft LAPS บนคอมพิวเตอร์การจัดการ

จำเป็นต้องติดตั้งซอฟต์แวร์ LAPS ทั้งในคอมพิวเตอร์การจัดการและคอมพิวเตอร์ไคลเอนต์ คุณสมบัติการจัดการจะถูกใช้ในการกำหนดค่าและจัดการ LAPS

คุณสามารถติดตั้งคุณลักษณะการจัดการ LAPS บนตัวควบคุมโดเมนหรือคอมพิวเตอร์ที่เข้าร่วมโดเมนอื่นได้ (เช่น Windows 10 หรือ 11)

1. ดาวน์โหลดซอฟต์แวร์ LAPS จากลิงก์ด้านล่าง

https://www.microsoft.com/en-us/download/details.aspx?id=46899

เลือกการดาวน์โหลดที่คุณต้องการ ฉันจะดาวน์โหลดเวอร์ชัน 64 บิต

2. ดับเบิลคลิกไฟล์ LAPS.x64.msi เพื่อเริ่มการติดตั้ง

3. คลิก “ถัดไป” บนหน้าจอวิซาร์ดการตั้งค่า

4. ยอมรับข้อตกลงใบอนุญาตแล้วคลิก "ถัดไป"

5. ติดตั้งคุณสมบัติทั้งหมด

คลิกที่เครื่องมือการจัดการและเลือก "คุณสมบัติทั้งหมดจะถูกติดตั้งบนฮาร์ดไดรฟ์ในเครื่อง" และคลิก "ถัดไป"

6. คลิกติดตั้ง

เมื่อการติดตั้งเสร็จสิ้นให้คลิก "เสร็จสิ้น"

เสร็จสิ้นการติดตั้งซอฟต์แวร์ LAPS สำหรับคอมพิวเตอร์การจัดการ ในขั้นตอนที่ 3 เราจะกลับมาที่คอมพิวเตอร์การจัดการเพื่อตั้งค่า LAPS ให้เสร็จสิ้น

ขั้นตอนที่ 2 ติดตั้ง Microsoft LAPS บนคอมพิวเตอร์ไคลเอนต์

จะต้องติดตั้งส่วนขยายฝั่งไคลเอ็นต์นโยบายกลุ่ม LAPS (CSE) บนคอมพิวเตอร์แต่ละเครื่อง ซึ่งทำได้โดยใช้ไฟล์ตัวติดตั้งเดียวกันกับที่ใช้ในขั้นตอนที่ 1 (LAPS.x64.msi)

มีหลายวิธีในการติดตั้งซอฟต์แวร์ไคลเอ็นต์ LAPS หากคุณต้องการปรับใช้ซอฟต์แวร์โดยใช้ GPO โปรดดูบทความปรับใช้ซอฟต์แวร์ผ่าน GPO

หากต้องการติดตั้งซอฟต์แวร์ไคลเอ็นต์ด้วยตนเอง ให้เรียกใช้ไฟล์ LAPS.x64.msi และคงค่าเริ่มต้นไว้ คุณลักษณะเดียวที่ควรเลือกคือส่วนขยาย AdmPwd GPO

คุณยังสามารถปรับใช้โดยใช้สคริปต์, SCCM, PDQ หรือโปรแกรมปรับใช้ซอฟต์แวร์อื่นๆ ได้อีกด้วย

ต่อไปนี้เป็นคำสั่งสำหรับการปรับใช้กับสคริปต์

msiexec /q /i \\server\share\LAPS.x64.ms

นี่คือตัวอย่างการโฮสต์ไฟล์บนเซิร์ฟเวอร์ไฟล์

msiexec /i \server\share\LAPS.x64.msi /quiet

ขั้นตอนที่ 3 ขยาย Active Directory Schema

Microsoft LAPS ใช้แอตทริบิวต์ใหม่สองรายการสำหรับวัตถุคอมพิวเตอร์ใน Active Directory

• ms-Mcs-AdmPwd - คุณลักษณะนี้จะบันทึกรหัสผ่านผู้ดูแลระบบของคอมพิวเตอร์
• ms-Mcs-AdmPwdExpirationTime - แอ็ตทริบิวต์นี้จะบันทึกการประทับเวลาการหมดอายุของรหัสผ่าน

หากต้องการเปิดใช้งานคุณลักษณะใหม่เหล่านี้ จำเป็นต้องมีการขยายสคีมา Active Directory

ทำตามขั้นตอนด้านล่าง

1. คุณจะต้องเข้าสู่ระบบด้วยบัญชีที่เป็นสมาชิกของกลุ่มผู้ดูแลระบบ Scheme ใน Active Directory

2. รันคำสั่งทั้งสองด้านล่าง:

Import-module AdmPwd.PS
Update-AdmPwdADSchema

คุณควรได้รับสถานะความสำเร็จดังภาพหน้าจอด้านบน

ตอนนี้คุณควรเห็นแอตทริบิวต์ใหม่สองรายการบนวัตถุคอมพิวเตอร์ คุณสามารถตรวจสอบได้โดยเปิดตัวแก้ไขแอตทริบิวต์บนคอมพิวเตอร์ใน Active Directory

ในปัจจุบัน คุณลักษณะเหล่านี้ไม่มีค่า แต่จะได้รับการอัปเดตเมื่อการตั้งค่า LAPS เสร็จสิ้น

ขั้นตอนที่ 4 ตั้งค่าการอนุญาตคอมพิวเตอร์

สิทธิ์ในการเขียนบนแอตทริบิวต์ ms-Mcs-AdmPwd และ ms-Mcs-AdmPwdExpirationTime จำเป็นต้องได้รับการแก้ไขสำหรับบัญชีในตัว SELF สิ่งนี้จำเป็นเพื่อให้คอมพิวเตอร์สามารถอัปเดตรหัสผ่านและการประทับเวลาการหมดอายุของรหัสผ่านผู้ดูแลระบบภายในเครื่องได้ ทำได้โดยใช้ PowerShell

1. ขั้นแรก ระบุ OU ที่มีวัตถุคอมพิวเตอร์ของคุณ

ตัวอย่างเช่น คอมพิวเตอร์ทั้งหมดของฉันอยู่ใน OU “คอมพิวเตอร์ ADPRO”

2. ใช้คำสั่ง Set-AdmPwdComputerSelfPermission เพื่อตั้งค่าการอนุญาต

หมายเหตุ: คุณอาจต้องเรียกใช้ import-module ADMPwd.ps ก่อน

Set-AdmPwdComputerSelfPermission -OrgUnit "ADPRO Computers"

ในตัวอย่างนี้ ฉันกำลังตั้งค่าการอนุญาตบน OU “คอมพิวเตอร์ ADPRO”

คุณไม่จำเป็นต้องเรียกใช้สิ่งนี้บน OU ย่อย

ขั้นตอนที่ 5 ตั้งค่าสิทธิ์ผู้ใช้ (อนุญาตการอ่านรหัสผ่านที่เก็บไว้)

ตามค่าเริ่มต้น เฉพาะสมาชิกของกลุ่มผู้ดูแลระบบโดเมนเท่านั้นที่สามารถอ่านรหัสผ่านที่เก็บไว้ของบัญชีคอมพิวเตอร์ได้ คุณสามารถเพิ่มผู้ใช้หรือกลุ่มเพิ่มเติมด้วย PowerShell

ในตัวอย่างนี้ ฉันจะเพิ่มกลุ่ม it_wrk_admins เพื่อให้มีสิทธิ์ดูรหัสผ่านของผู้ดูแลระบบท้องถิ่น

เปิด PowerShell และเรียกใช้คำสั่งด้านล่าง

Set-AdmPwdReadPasswordPermission -Identity "ADPro Computers" -AllowedPrincipals "it_wrk_admins"

หากต้องการดูว่าผู้ใช้หรือกลุ่มใดมีสิทธิ์ ให้รันคำสั่งด้านล่าง

   Find-AdmPwdExtendedRights -Identity "ADPro Computers"

ด้านบนคุณจะเห็นผู้ดูแลระบบโดเมนและกลุ่ม it_wrk_admins มีสิทธิ์เพิ่มเติม

คุณเพียงต้องการอนุญาตให้ผู้ดูแลระบบไอทีที่ได้รับอนุมัติมีสิทธิ์อ่านรหัสผ่านเท่านั้น ผู้ใช้ทั่วไปไม่ควรได้รับอนุญาตให้เข้าถึงนี้ ใช้คำสั่ง Find-AdmPwdExtensedRights เพื่อดูว่าผู้ใช้รายใดมีสิทธิ์ดูรหัสผ่าน

ขั้นตอนที่ 6 การตั้งค่านโยบายกลุ่ม

ขั้นตอนการกำหนดค่าสุดท้ายคือการสร้างนโยบายกลุ่มสำหรับการตั้งค่า LAPS

เคล็ดลับ: หากคุณได้กำหนดค่า Group Policy Central Store คุณจะต้องคัดลอกไฟล์ AdmPwd.admx และ AdmPwd.adml จาก c:\Windows\PolicyDefinitions ไปยัง Central Store ของคุณก่อน

1. เปิดคอนโซลการจัดการนโยบายกลุ่ม

2. สร้าง GPO ใหม่บน OU ที่มีคอมพิวเตอร์ของคุณ

ตั้งชื่อองค์การเภสัชกรรม ฉันโทรหา คอมพิวเตอร์ - LAPS ของฉัน

3. แก้ไข GPO

เรียกดูการตั้งค่านโยบายต่อไปนี้ การกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> เทมเพลตการดูแลระบบ -> LAPS

คลิกที่นโยบาย เปิดใช้งานการจัดการรหัสผ่านของผู้ดูแลระบบภายใน

คลิกที่เปิดใช้งานแล้วตกลง

คลิกที่นโยบาย การตั้งค่ารหัสผ่าน

คลิกที่เปิดใช้งาน จากนั้นกำหนดการตั้งค่าความซับซ้อนของรหัสผ่านแล้วคลิกตกลง

หากคุณมีบัญชีผู้ดูแลระบบภายในที่กำหนดเองซึ่งต้องการให้ LAPS จัดการ คุณสามารถเปิดใช้งานชื่อบัญชีผู้ดูแลระบบเพื่อจัดการ

เคล็ดลับ คุณไม่จำเป็นต้องกำหนดค่านโยบายนี้สำหรับบัญชีผู้ดูแลระบบในตัว แม้ว่าคุณจะเปลี่ยนชื่อแล้วก็ตาม นโยบายนี้มีไว้สำหรับบัญชีผู้ดูแลระบบท้องถิ่นที่กำหนดเองเท่านั้น

ตัวอย่างเช่น หากฉันมีบัญชีผู้ดูแลระบบภายในที่กำหนดเองชื่อ IT_Admin ฉันสามารถใช้นโยบายนี้เพื่อให้ LAPS จัดการได้

เสร็จสิ้นขั้นตอนการกำหนดค่าของ Microsoft Laps

วิธีดูรหัสผ่านผู้ดูแลระบบภายใน

บนคอมพิวเตอร์การจัดการของคุณ ให้เปิดโปรแกรม LAPS UI

ป้อนชื่อคอมพิวเตอร์แล้วคลิกค้นหา

ด้านบน คุณสามารถดูรหัสผ่านผู้ดูแลระบบภายในสำหรับ PC1 และเวลาที่รหัสผ่านหมดอายุ

การใช้ PowerShell

Get-AdmPwdPassword PC1

คุณยังสามารถดูรหัสผ่านใน Active Directory ได้ด้วยการเปิดคอมพิวเตอร์และคลิกที่ Attribute Editor ปัญหาเดียวคือรหัสผ่านหมดอายุไม่อยู่ในรูปแบบที่อ่านได้

อีกทางเลือกหนึ่งคือการใช้ AD Pro Toolkit ประกอบด้วยรายงานรหัสผ่าน LAPS ที่จะได้รับรหัสผ่าน LAPS ในคอมพิวเตอร์ทุกเครื่อง หากต้องการเรียกใช้รายงานนี้ ให้คลิกที่รายงาน -> ความปลอดภัย -> รหัสผ่าน LAPS

ฉันหวังว่าคุณจะพบว่าบทความนี้มีประโยชน์ หากคุณมีความคิดเห็นกรุณาโพสต์ไว้ด้านล่าง

เนื้อหาที่เกี่ยวข้อง

ภาพรวม Windows LAPS

แนวคิดหลักใน Windows LAPS

PowerShell แสดงรายการผู้ดูแลระบบท้องถิ่น

วิธีลบสิทธิ์ผู้ดูแลระบบท้องถิ่น