วิธีปรับใช้ Microsoft Entra LAPS ด้วย Intune ทีละขั้นตอน
Microsoft Entra ID LAPS (โซลูชันรหัสผ่านผู้ดูแลระบบภายใน) ให้การจัดการบัญชีผู้ดูแลระบบภายในเครื่องเดียวบนอุปกรณ์ที่เข้าร่วม Microsoft Entra ID หรืออุปกรณ์ที่เข้าร่วม Active Directory ในเครื่อง จากนั้นรหัสผ่านจะได้รับการป้องกันในไดเร็กทอรี จากนั้นจึงสามารถมอบหมายการเข้าถึงรหัสผ่านให้กับผู้ใช้เฉพาะรายได้
การกำหนดค่าและการปรับใช้ Microsoft Entra ID LAPS สมัยใหม่นั้นง่ายขึ้นด้วย Microsoft Intune เมื่อเปิดใช้งานในผู้เช่าของคุณแล้ว คุณจะสามารถใช้โปรไฟล์การกำหนดค่าเดียวในการกำหนดค่า Windows LAPS (มีอยู่ในระบบปฏิบัติการ Windows เวอร์ชันล่าสุด) จากนั้นจะสามารถเข้าถึงและสับเปลี่ยนรหัสผ่านด้วยตนเองผ่านทาง Microsoft Entra หรือพอร์ทัลการจัดการ Intune
ในบทช่วยสอนนี้ ฉันจะแสดงวิธีกำหนดค่า Microsoft Entra ID LAPS จากพอร์ทัลการจัดการ Microsoft Intune
เกี่ยวกับ LAPS พร้อม Intune
สถานการณ์จำลอง Microsoft Entra ID LAPS ได้รับการสนับสนุนโดยความสามารถ Windows LAPS ใหม่ที่สร้างไว้ในระบบปฏิบัติการ Windows โดยตรง ซึ่งหมายความว่าสามารถติดตั้งได้อย่างรวดเร็วและง่ายดายโดยไม่จำเป็นต้องติดตั้งซอฟต์แวร์ไคลเอ็นต์เพิ่มเติม
ข้อเสียนี้มาในรูปแบบของข้อกำหนด Windows LAPS ได้รับการสนับสนุนในระบบปฏิบัติการล่าสุดเท่านั้น ซึ่งหมายความว่าหากคุณไม่ทันสมัยและสอดคล้องกับการอัปเดตคุณลักษณะของ Windows (ซึ่งอาจทำให้บางคนรู้สึกลำบาก) คุณอาจเหลืออุปกรณ์บางอย่างที่ไม่ปลอดภัย แม้ว่าแน่นอนว่าการมีอุปกรณ์ทั้งหมดให้ทันสมัยอยู่เสมอก็เป็นสิ่งที่ดี ดังนั้นจึงเป็นสิ่งสำคัญที่ข้อกำหนดจะต้องได้รับการพิจารณาอย่างรอบคอบเพื่อเก็บเกี่ยวผลประโยชน์ด้านความปลอดภัยที่ Microsoft Entra ID LAPS พร้อม Intune สามารถนำมาใช้ได้ โดยพื้นฐานแล้วมันคือทั้งหมดหรือไม่มีเลย หากคุณปล่อยช่องโหว่ไว้ แฮ็กเกอร์จะพบมัน
การปรับใช้ Microsoft Entra ID LAPS นั้นง่ายขึ้นโดยใช้ Microsoft Intune อย่างไรก็ตาม สำหรับผู้ที่มีความสามารถในการจัดการที่จำกัด ก็สามารถปรับใช้ผ่านนโยบายกลุ่ม ด้วยตนเองผ่านรีจิสตรีคีย์ หรือใช้การตั้งค่า Windows CSP ใน Intune ไม่ว่าด้วยเหตุผลใดก็ตาม วิธีการปรับใช้หลายวิธีนำไปใช้กับเครื่องเดียว และการตั้งค่า Windows CSP/Intune จะมีความสำคัญเหนือกว่าเสมอ Intune จะเป็นตัวเลือกที่แนะนำเสมอ ใช้งานง่าย คุณลักษณะการรายงานดีและไม่ต้องใช้ตัวควบคุมโดเมนในการมองเห็น
ความต้องการ
Microsoft Entra ID LAPS ใช้คอมโพเนนต์ Windows LAPS ที่มีอยู่ในระบบปฏิบัติการ Windows ซึ่งมีอยู่ใน Windows เวอร์ชันต่อไปนี้ คุณสามารถใช้ลิงก์ด้านล่างเพื่อดาวน์โหลดไฟล์อัปเดตที่จำเป็นจาก Microsoft Update Catalogue ด้วยตนเอง
- Windows 11 22H2 - อัปเดตวันที่ 11 เมษายน 2023 -> ดาวน์โหลด KB5025239
- Windows 11 21H2 - อัปเดตวันที่ 11 เมษายน 2023 -> ดาวน์โหลด KB5025224
- อัปเดต Windows 10 - 11 เมษายน 2023 -> ดาวน์โหลด KB5025221
- Windows Server 2022 - อัปเดตวันที่ 11 เมษายน 2023 -> ดาวน์โหลด KB5025230
- Windows Server 2019 - อัปเดตวันที่ 11 เมษายน 2023 -> ดาวน์โหลด KB5025229
โชคดีที่ LAPS มาพร้อมกับ Microsoft Entra ID เวอร์ชันฟรี ดังนั้นหากคุณมีสิทธิ์การใช้งาน Microsoft 365 ในผู้เช่าของคุณ คุณจะได้รับการสนับสนุนในการบันทึกรหัสผ่าน LAPS ใน Microsoft Entra ID อย่างไรก็ตาม ตามที่คุณคาดหวัง สำหรับการจัดการผ่าน Intune คุณจะต้องมีสิทธิ์การใช้งาน Microsoft Intune Plan 1 เป็นอย่างน้อย ซึ่งเป็นการสมัครใช้งาน Intune ขั้นพื้นฐาน นอกจากนี้ยังรองรับในระหว่างการสมัครสมาชิกแบบทดลองใช้อีกด้วย
เปิดใช้งาน Microsoft Entra LAPS
เพื่อสนับสนุนการใช้งาน Microsoft Entra ID LAPS คุณต้องเปิดใช้งาน Windows LAPS สำหรับ Microsoft Entra ID ในพอร์ทัลการจัดการ Microsoft Entra ก่อน โดยทำตามขั้นตอนด้านล่าง:
1. เข้าสู่ระบบ Microsoft Entra
2. เลือก Azure Active Directory จากนั้นเลือก อุปกรณ์
3. เลือก การตั้งค่าอุปกรณ์
4. ตั้งค่า เปิดใช้งาน Microsoft Entra Local Administrator Password Solution (LAPS) เป็น ใช่ จากนั้นคลิก บันทึก และด้านบน
เมื่อดำเนินการเสร็จแล้ว คุณจะพร้อมที่จะเปิดใช้งาน Microsoft Entra LAPS บนอุปกรณ์ของคุณ นอกจากนี้ ในเบื้องหลัง การดำเนินการนี้จะตั้งค่าฟิลด์ IsEnabled สำหรับการตั้งค่า localadminpassword เป็น True ใน Microsoft Graph
คุณควรทราบด้วยว่าเมื่อคุณเปิดใช้งาน Microsoft Entra LAPS ที่นี่ คุณจะสามารถใช้จัดเก็บรหัสผ่าน LAPS สำหรับอุปกรณ์ทั้งหมดได้ หากคุณต้องการเปิดใช้งานการตั้งค่ากับอุปกรณ์ทั้งหมดหรือเฉพาะอุปกรณ์เฉพาะ จะต้องดำเนินการกับโปรไฟล์การกำหนดค่าในขั้นตอนถัดไป
สร้างโปรไฟล์การกำหนดค่า LAPS
ขณะนี้ LAPS เปิดใช้งานสำหรับผู้เช่าของคุณแล้ว ตอนนี้คุณก็พร้อมที่จะสร้างโปรไฟล์การกำหนดค่าซึ่งจะมีการตั้งค่าทั้งหมดสำหรับ Microsoft Entra LAPS เพื่อนำไปใช้กับอุปกรณ์ของคุณ
1. เข้าสู่ระบบ Intune https://intune.microsoft.com/
2. เลือก ความปลอดภัยปลายทาง
3. จากนั้นเลือก การคุ้มครองบัญชี
4. คลิก สร้างนโยบาย เพื่อสร้างนโยบายการป้องกันปลายทางใหม่สำหรับ Azure AD LAPS
5. ในหน้าต่างป๊อปอัป ให้เลือก Windows LAPS จากรายการแบบเลื่อนลง และคลิก สร้าง
6. เลือกชื่อนโยบายที่มีความหมายแล้วคลิก ถัดไป
7. กำหนดการตั้งค่าการกำหนดค่า Microsoft Entra LAPS ของคุณ ใช้การตั้งค่าของฉันตามที่แนะนำ:
การตั้งค่าบางอย่างข้างต้นถูกปล่อยให้เป็นค่าเริ่มต้น ค่าต่างๆ จะเป็นค่าเริ่มต้นดังนี้:
- ชื่อบัญชีผู้ดูแลระบบ: SID ผู้ดูแลระบบเริ่มต้น (ซึ่งสอดคล้องกันในทุกอุปกรณ์) จะถูกนำมาใช้ โดยไม่คำนึงว่าบัญชีจะถูกเปลี่ยนชื่อหรือไม่
- ความซับซ้อนของรหัสผ่าน: ตัวอักษรขนาดใหญ่ + ตัวอักษรเล็ก + ตัวเลข + อักขระพิเศษ
- ความยาวของรหัสผ่าน: 14 ตัวอักษร
- การดำเนินการตรวจสอบสิทธิ์ภายหลัง: รีเซ็ตรหัสผ่านและออกจากระบบบัญชีที่ได้รับการจัดการ
ความล่าช้าในการรีเซ็ตการตรวจสอบสิทธิ์ภายหลัง: 24 ชั่วโมง
8. กำหนดแท็กขอบเขตในส่วน แท็กขอบเขต และคลิก ถัดไป
9. คลิก เพิ่มอุปกรณ์ทั้งหมด เพื่อใช้นโยบายนี้กับอุปกรณ์ที่รองรับทั้งหมดที่ลงทะเบียนใน Intune คุณยังสามารถกำหนดตัวกรองอุปกรณ์ได้ที่นี่เพื่อยกเว้นอุปกรณ์เฉพาะจากนโยบาย Microsoft Entra LAPS จากนั้นคลิก ถัดไป
10. สุดท้าย ตรวจสอบการตั้งค่าของคุณแล้วคลิก สร้าง
ตรวจสอบว่า Microsoft Entra LAPS สำเร็จหรือไม่
เมื่อปรับใช้ Microsoft Entra LAPS ไม่จำเป็นต้องรีบูทอุปกรณ์ของคุณ ต่างจาก LAPS เวอร์ชันก่อนหน้าที่จำเป็นต้องรีบูตเพื่อปรับใช้ MSI ผ่านทาง GPO ซึ่งหมายความว่าครั้งต่อไปที่นโยบายมีผลกับอุปกรณ์ของคุณ LAPS จะได้รับการกำหนดค่า
คุณสามารถตรวจสอบว่านโยบายมีการปรับใช้ตามที่คาดไว้หรือไม่จากหน้าต่างรายงานนโยบาย:
จากพอร์ทัล Intune: ความปลอดภัยของปลายทาง > การปกป้องบัญชี > *นโยบาย LAPS ของคุณ* > ดูรายงาน
บันทึกเหตุการณ์ของ Windows
คุณจะเห็น Event ID 10022 สำหรับ LAPS เมื่อมีการปรับใช้บนไคลเอนต์สำเร็จแล้ว ซึ่งอยู่ที่:
บันทึกแอปพลิเคชันและบริการ > Microsoft > Windows > LAPS
บันทึกจะมีข้อมูลเกี่ยวกับการกำหนดค่าของ LAPS ซึ่งจะช่วยให้คุณทราบว่ามีการใช้นโยบายที่ถูกต้องหากคุณมีการกำหนดค่าที่แตกต่างกันสำหรับอุปกรณ์กลุ่มต่างๆ,
นโยบาย LAPS ปัจจุบันได้รับการกำหนดค่าดังนี้:
แหล่งที่มาของนโยบาย: CSP
ไดเรกทอรีสำรอง: Azure Active Directory em
ชื่อบัญชีผู้ดูแลระบบท้องถิ่น:
อายุรหัสผ่านเป็นวัน: 7
ความซับซ้อนของรหัสผ่าน: 4
ความยาวของรหัสผ่าน: 14
ระยะเวลาผ่อนผันหลังการตรวจสอบสิทธิ์ (ชั่วโมง): 24
การดำเนินการตรวจสอบหลังโพสต์: 0x3
ดู https://go.microsoft.com/fwlink/?linkid=2220550 สำหรับข้อมูลเพิ่มเติม
ดูและหมุนรหัสผ่าน Microsoft Entra LAPS
การดูและการหมุนเวียนรหัสผ่าน LAPS สำหรับอุปกรณ์สามารถทำได้อย่างรวดเร็วและง่ายดายผ่านพอร์ทัล Microsoft Entra หรือพอร์ทัล Intune
พอร์ทัลทางเข้าของ Microsoft
หากต้องการดูรหัสผ่าน LAPS จาก Microsoft Entra Portal ให้ทำตามขั้นตอนเหล่านี้:
อุปกรณ์ > การกู้คืนรหัสผ่านผู้ดูแลระบบภายใน > เลือกอุปกรณ์ของคุณ > แสดงรหัสผ่านผู้ดูแลระบบภายใน
พอร์ทัลอินทูน
หากต้องการดูรหัสผ่าน LAPS จาก Intune Portal ให้ทำตามขั้นตอนเหล่านี้:
อุปกรณ์ > อุปกรณ์ทั้งหมด > เลือกอุปกรณ์ของคุณ > รหัสผ่านผู้ดูแลระบบภายใน > แสดงรหัสผ่านผู้ดูแลระบบภายใน แข็งแกร่ง>.
หากต้องการหมุนรหัสผ่านก่อนถึงช่วงหมดอายุที่กำหนด ให้เลือกอุปกรณ์จากภายใน Intune คลิกที่จุด 3 จุดที่มุมขวาบน จากนั้นคลิก หมุนรหัสผ่านผู้ดูแลระบบภายใน
นอกจากนี้ LAPS จะบล็อกความพยายามภายนอกในการเปลี่ยนรหัสผ่าน รวมถึงเมื่อคุณใช้ฟังก์ชัน 'รีเซ็ตรหัสผ่าน' ใน Azure สำหรับเครื่องเสมือน บันทึกต่อไปนี้จะปรากฏในบันทึกเหตุการณ์ของ Windows:
รหัสเหตุการณ์: 10031
LAPS บล็อกคำขอภายนอกที่พยายามแก้ไขรหัสผ่านของบัญชีที่จัดการปัจจุบัน
ชื่อบัญชี: %accountname%
<บัญชี RID: 0x1F4
ดู https://go.microsoft.com/fwlink/?linkid=2220550 สำหรับข้อมูลเพิ่มเติม