วิธีการตั้งค่า Windows LAPS ทีละขั้นตอน

Windows LAPS เป็นโซลูชันการจัดการรหัสผ่านผู้ดูแลระบบภายในเครื่องที่ทรงพลังและติดตั้งง่าย ซึ่งมีประโยชน์ด้านความปลอดภัยอย่างมาก Windows LAPS เก็บรหัสผ่านผู้ดูแลระบบภายในสำหรับอุปกรณ์เฉพาะหรือทั้งหมดที่เข้าร่วมในไดเร็กทอรีของคุณภายในไดเร็กทอรีของคุณ (ไม่ว่าจะเป็นในเครื่องหรือ Azure Active Directory) รหัสผ่านเหล่านี้จะมีวันหมดอายุและการหมุนเวียนที่เข้มงวด ซึ่งจะช่วยป้องกันการเข้าครอบครองและการเคลื่อนไหวด้านข้างระหว่าง การโจมตี สิ่งนี้สามารถเพิ่มความปลอดภัยได้อย่างมากในสถานการณ์ต่างๆ เช่น เมื่อทำงานกับเจ้าหน้าที่ฝ่ายช่วยเหลือระยะไกล

Windows LAPS ถูกรวมเข้ากับระบบปฏิบัติการล่าสุดโดยตรง ทำให้ผู้ดูแลระบบสามารถปรับใช้ทั่วทั้งองค์กรได้อย่างรวดเร็วและง่ายดาย

ในบทช่วยสอนนี้ ฉันจะแสดงให้คุณเห็นวิธีการปรับใช้ Windows LAPS กับอุปกรณ์ที่เข้าร่วม Active Directory ของคุณทีละขั้นตอน

Windows LAPS คืออะไร

Windows LAPS เป็นผู้สืบทอดต่อจากโซลูชันรุ่นเก่าของ Microsoft นั่นคือ Microsoft LAPS LAPS ย่อมาจาก Local Administrator Password Solution และนั่นคือสิ่งที่มันทำ Windows LAPS เป็นคุณลักษณะใหม่ของ Windows ที่ช่วยให้คุณสามารถจัดการรหัสผ่านบัญชีผู้ดูแลระบบภายในจาก Active Directory ในเครื่องหรือ Azure Active Directory

LAPS สามารถใช้เพื่อสำรองและจัดการรหัสผ่านบัญชีผู้ดูแลระบบภายในเครื่องในสถานการณ์ที่แตกต่างกัน:

• สำรองรหัสผ่านผู้ดูแลระบบภายในสำหรับอุปกรณ์ที่เข้าร่วมใน Active Directory ในเครื่องไปยัง Active Directory ในเครื่อง
• สำรองข้อมูลรหัสผ่านผู้ดูแลระบบภายในสำหรับอุปกรณ์ที่เข้าร่วม Azure Active Directory ไปยัง Azure Active Directory
• สำรองรหัสผ่าน DSRM สำหรับ Windows Server Domain Controllers ไปยัง Active Directory ในเครื่อง

ต้องรู้!

การตั้งค่าการปรับใช้ Windows LAPS ขึ้นอยู่กับวิธีการจัดการอุปกรณ์ของคุณ! หากอุปกรณ์ของคุณเข้าร่วมเฉพาะ Active Directory ในเครื่อง คุณจะสำรองข้อมูลรหัสผ่านไปยัง Active Directory ในเครื่องเท่านั้น

ในทำนองเดียวกัน หากอุปกรณ์ของคุณเข้าร่วมเฉพาะ Azure Active Directory คุณสามารถสำรองรหัสผ่านของคุณไปยัง Azure Active Directory เท่านั้น

อย่างไรก็ตาม หากอุปกรณ์ของคุณเป็นแบบไฮบริดที่เข้าร่วม Active Directory ภายในเครื่องและ Azure Active Directory จะสามารถสำรองข้อมูลไปที่ตำแหน่งใดตำแหน่งหนึ่งได้ แต่จะสำรองข้อมูลทั้งสองตำแหน่งไม่ได้

ข้อกำหนดสำหรับ Windows LAPS

เมื่อต้องการใช้ Windows LAPS เวอร์ชันล่าสุดที่สร้างไว้ในระบบปฏิบัติการของคุณโดยตรง คุณจะต้องใช้ระบบปฏิบัติการใดๆ ต่อไปนี้:

ระบบปฏิบัติการไคลเอนต์

• Windows 11 22H2 - อัปเดตวันที่ 11 เมษายน 2023
  อัปเดต Windows 11 21H2 - 11 เมษายน 2023
  อัปเดต Windows 10 - 11 เมษายน 2023

ระบบปฏิบัติการเซิร์ฟเวอร์ Windows

• Windows Server 2022 - อัปเดตวันที่ 11 เมษายน 2023
• Windows Server 2019 - อัปเดตวันที่ 11 เมษายน 2023

ไม่มีข้อกำหนดสิทธิ์การใช้งานเพิ่มเติมที่จำเป็นในการใช้ Windows LAPS

วิธีการตั้งค่า Windows LAPS ทีละขั้นตอน

1. เริ่มต้นด้วยการเข้าสู่ระบบตัวควบคุมโดเมนของคุณในฐานะผู้ดูแลโดเมนและเปิด PowerShell

2. เมื่อ PowerShell เปิดอยู่ ให้รันคำสั่งต่อไปนี้เพื่ออัปเดต Active Directory schema

Update-LapsAdSchema

คุณสามารถป้อน Y เพื่อตรวจสอบและอนุมัติการอัปเดตสคีมาแต่ละรายการด้วยตนเอง หรือป้อน A เพื่ออนุมัติการอัปเดตทั้งหมดโดยอัตโนมัติ

คุณลักษณะต่อไปนี้จะถูกเพิ่มลงในสคีมาเมื่อคุณรันคำสั่ง update:

• msLAPS-รหัสผ่านหมดอายุเวลา
• msLAPS-รหัสผ่าน
• msLAPS-รหัสผ่านที่เข้ารหัส
• msLAPS-เข้ารหัสประวัติรหัสผ่าน
• msLAPS-เข้ารหัส DSRMPassword
• msLAPS-เข้ารหัส DSRMPasswordHistory

คุณสามารถตรวจสอบว่าการอัปเดตทั้งหมดสำเร็จได้ด้วยการรันคำสั่งอีกครั้งด้วยสวิตช์ -verbose

Update-LapsAdSchema -verbose

คุณจะเห็นได้จากผลลัพธ์ว่าแอตทริบิวต์ที่ต้องการมีอยู่แล้ว

3. ต่อไป เราต้องตรวจสอบให้แน่ใจว่าอุปกรณ์ที่ได้รับการจัดการที่เราต้องการกำหนดค่า LAPS มีสิทธิ์ที่ถูกต้องในการอัปเดตรหัสผ่านของตัวเอง ซึ่งทำได้โดยการอัปเดตแอตทริบิวต์ msLAPS- ที่เกี่ยวข้องบนออบเจ็กต์คอมพิวเตอร์ ณ จุดนี้ แอตทริบิวต์จะแสดงเป็นค่าว่าง:

เรียกใช้คำสั่งต่อไปนี้กับชื่อเฉพาะของ OU ระดับสูงสุดที่ประกอบด้วย OU ของคอมพิวเตอร์ของคุณ ตัวอย่างเช่น ฉันจะเรียกใช้สิ่งนี้กับ ourcloudnetwork OU ของฉันซึ่งมี OU ย่อยที่เรียกว่า คอมพิวเตอร์ ซึ่งทำงานอยู่และสิทธิ์ใน OU ระดับบนสุดจะสืบทอดลงมา

Set-LapsADComputerSelfPermission -Identity ourcloudnetwork

คุณจะเห็นว่าหากฉันพยายามเรียกใช้คำสั่งนี้กับชื่อ OU ที่ไม่ซ้ำกัน ข้อผิดพลาดต่อไปนี้จะเกิดขึ้น:

Set-LapsADComputerSelfPermission : พบมากกว่าหนึ่งผลลัพธ์ 2 สำหรับ 'คอมพิวเตอร์' OU ใน AD

3. ตอนนี้คุณต้องแน่ใจว่าผู้ใช้ที่จำเป็นสามารถอ่านรหัสผ่าน LAPS ใน Active Directory ได้ ใช้ Set-LapsADReadPasswordPermission cmdlet เพื่อให้สิทธิ์เฉพาะกลุ่มในการอ่านรหัสผ่าน LAPS สำหรับ OU ที่ต้องการ

ตัวอย่างเช่น ด้านล่างนี้ ฉันให้สิทธิ์กลุ่มความปลอดภัย ผู้ดูแลระบบเวิร์กสเตชัน เพื่ออ่านรหัสผ่าน LAPS สำหรับคอมพิวเตอร์ภายใน ourcloudnetwork OU

Set-LapsADReadPasswordPermission -Identity ourcloudnetwork `
-AllowedPrincipals "ourcloudnetwork\Workstation Admins"

มีคำสั่งที่คล้ายกันซึ่งคุณสามารถใช้เพื่อมอบสิทธิ์ในลักษณะเดียวกันได้ ดังนี้:

• Set-LapsADPasswordExpirationTime - ให้สิทธิ์แก่กลุ่มผู้ใช้เฉพาะในการอัปเดตเวลาหมดอายุของรหัสผ่าน LAPS ใน AD
• Set-LapsADResetPasswordPermission - ให้สิทธิ์ผู้ใช้เฉพาะกลุ่มในการรีเซ็ตรหัสผ่าน LAPS ใน AD ด้วยตนเอง

คุณสามารถใช้คำสั่ง Find-LapsADExetendRights เพื่อตรวจสอบสิทธิ์ปัจจุบันใน OU ที่ระบุ

4. ตอนนี้เราสามารถปรับใช้การกำหนดค่า LAPS กับอุปกรณ์เป้าหมายของเราผ่านนโยบายกลุ่มท้องถิ่น เริ่มต้นด้วยการสร้าง GPO ใหม่และเชื่อมโยงกับ OU ของคอมพิวเตอร์เป้าหมายของคุณ

5. แก้ไขนโยบายและค้นหาการตั้งค่า LAPS ที่ การกำหนดค่าคอมพิวเตอร์ > Aเทมเพลตการดูแลระบบ > ระบบ > LAPS ที่ ขั้นต่ำเปล่า คุณต้องเปิดใช้งาน กำหนดค่าไดเร็กทอรีสำรองรหัสผ่าน เพื่อสำรองรหัสผ่านไปยัง Active Directory .

คุณจะเห็นได้ว่ามีสองตัวเลือก แต่เมื่อไม่ได้เปิดใช้งานการตั้งค่านี้ คุณจะปิดการใช้งานนโยบาย LAPS ของคุณอย่างมีประสิทธิภาพ

6. คุณต้องตัดสินใจเลือกบัญชีท้องถิ่นที่จะจัดการด้วย LAPS LAPS จะไม่สร้างบัญชีผู้ดูแลระบบภายในสำหรับคุณ คุณต้องตรวจสอบให้แน่ใจว่ามีบัญชีดังกล่าวอยู่ในอุปกรณ์ที่ได้รับการจัดการเพื่อให้ LAPS อัปเดตรหัสผ่าน ไม่ว่าจะเป็นบัญชีผู้ดูแลระบบในตัว (ไม่แนะนำ) หรือบัญชีผู้ใช้แบบกำหนดเอง (แนะนำ) .

มีหลายวิธีในการสร้างบัญชีผู้ใช้ภายในเครื่องใหม่และเพิ่มลงในกลุ่มผู้ดูแลระบบภายใน แม้ว่าฉันจะไม่ได้กล่าวถึงข้อมูลเฉพาะในโพสต์นี้ แต่บางตัวเลือกก็รวมถึง:

• การตั้งค่านโยบายกลุ่ม
• สคริปต์การเข้าสู่ระบบสุทธิ
• สคริปต์นโยบายกลุ่ม
• อินทูน
• ด้วยตนเอง
• สคริปต์ PowerShell ระยะไกล
• เครื่องมือ RMM ของบุคคลที่สาม

7. เมื่อคุณตัดสินใจว่าจะใช้บัญชีใด ให้กำหนดการตั้งค่า ชื่อบัญชีผู้ดูแลระบบเพื่อจัดการ

การตั้งค่าสองรายการสุดท้ายที่ต้องกำหนดค่าคือ:

• การตั้งค่ารหัสผ่าน
• อย่าปล่อยให้รหัสผ่านหมดอายุนานกว่านโยบายที่กำหนด

การตั้งค่ารหัสผ่านช่วยให้คุณสามารถกำหนดความซับซ้อนของรหัสผ่าน อายุของรหัสผ่าน และความยาวของรหัสผ่านได้ การตั้งค่า ไม่อนุญาตให้รหัสผ่านหมดอายุนานกว่าที่กำหนด จะทำให้แน่ใจได้ว่าหากผู้ดูแลระบบพยายามตั้งค่ารหัสผ่านให้หมดอายุนานกว่านโยบายกำหนด รหัสผ่านนั้นจะไม่ได้รับผลกระทบ ตัวอย่างเช่น หากฉันตั้งค่ารหัสผ่านตามด้านล่างนี้ หากผู้ใช้พยายามตั้งค่าการหมดอายุของรหัสผ่านที่ 5 วัน ค่าเริ่มต้นจะเป็น 1 วัน

8. คุณได้กำหนดค่า LAPS แล้ว! รีสตาร์ทอุปกรณ์ของผู้ใช้ เพื่อให้แน่ใจว่าอุปกรณ์อยู่บนเครือข่ายโดเมนและจะมีผล

วิธีดึงรหัสผ่าน LAPS ด้วย GUI

หากต้องการดึงรหัสผ่าน Windows LAPS สำหรับคอมพิวเตอร์ คุณสามารถทำได้โดยตรงผ่านผู้ใช้ Active Directory และคอมพิวเตอร์

1. เปิด ADUC แล้วดับเบิลคลิกที่บัญชีคอมพิวเตอร์ที่คุณต้องการเรียกคืนรหัสผ่าน

2. เลือกแท็บ LAPS จากนั้นเลือก แสดงรหัสผ่าน

วิธีดึงรหัสผ่าน LAPS ด้วย PowerShell

วิธีแก้ปัญหาที่ง่ายกว่าสำหรับบางคนอาจเป็นการใช้ PowerShell เพื่อดึงรหัสผ่าน LAPS ของคอมพิวเตอร์

1. เริ่มต้นด้วยการเปิด PowerShell

2. รันคำสั่งต่อไปนี้และระบุชื่อเดสก์ท็อปเป้าหมายของคุณ

Get-LapsADPAssword %targetDesktop% -AsPlainText

ผลลัพธ์ของคุณจะมีลักษณะดังนี้: