กำหนดค่า LAPS ใน Intune โดยใช้ Microsoft Graph PowerShell

บางทีคุณอาจเป็นผู้ให้บริการและพบว่าตัวเองปรับใช้การกำหนดค่าเดียวกันซ้ำแล้วซ้ำเล่าด้วยตนเอง อาจใช้เวลานานและมีแนวโน้มที่จะเกิดข้อผิดพลาด โดยเฉพาะอย่างยิ่งหากงานเป็นเรื่องธรรมดา วิธีแก้ไขคือการใช้สคริปต์ PowerShell เพื่อปรับใช้การกำหนดค่าให้กับคุณ สคริปต์ PowerShell ที่เขียนมาอย่างดีสามารถตรวจสอบและปรับใช้การกำหนดค่าโดยใช้เวลาเพียงเล็กน้อยในการปรับใช้ด้วยตนเองโดยใช้เว็บพอร์ทัลที่เทียบเท่ากัน

ในโพสต์นี้ ฉันจะสาธิตสคริปต์ที่ฉันเขียนเพื่อปรับใช้การกำหนดค่า Windows LAPS ใน Intune โดยอัตโนมัติด้วย Microsoft Graph PowerShell

หากคุณยังไม่เห็นโพสต์ของฉันที่ให้รายละเอียดเกี่ยวกับวิธีกำหนดค่า Windows LAPS โดยใช้ Intune ด้วยตนเอง โปรดดูโพสต์นั้นทันที เนื่องจากจะเพิ่มมุมมองให้กับว่าโพสต์นี้เกี่ยวกับอะไร

ความต้องการ

สคริปต์ใช้ Microsoft Graph PowerShell SDK เพื่อโต้ตอบกับ Microsoft Intune คุณต้องให้แน่ใจว่าคุณได้ติดตั้งโมดูล Microsoft.Graph.Authentication แล้ว

ลองอ่านโพสต์ของฉันเกี่ยวกับวิธีการติดตั้งโมดูล Microsoft Graph PowerShell หรืออนุญาตให้สคริปต์ค้นหาและปรับใช้โมดูลเอง

คุณจะต้องเข้าสู่ระบบด้วยบัญชีผู้ดูแลระบบส่วนกลางเพื่อเรียกใช้สคริปต์ เนื่องจากคุณจะต้องยินยอมต่อสิทธิ์ Graph API ที่จำเป็น

กำหนดค่า Windows LAPS ใน Intune ด้วย Microsoft Graph PowerShell

เข้าถึงสคริปต์การปรับใช้จาก GitHub ของฉัน: Create-LAPS.ps1 หมายเหตุ: สคริปต์นี้จะไม่กำหนดผู้ใช้/อุปกรณ์ใดๆ ให้กับนโยบายเหล่านี้ ซึ่งจะต้องดำเนินการด้วยตนเอง

เริ่มต้นด้วยการดาวน์โหลดสคริปต์การปรับใช้และแก้ไขตัวแปร $accountname ซึ่งจะกำหนดผู้ใช้ LAPS ที่จะสร้างและใช้งานตลอดทั้งสคริปต์

สคริปต์จะประมวลผลงานตามลำดับต่อไปนี้:

1. ตรวจสอบว่ามีการติดตั้งโมดูล Microsoft.Graph.Authentication หรือไม่ ถ้าไม่เช่นนั้น ให้ติดตั้งในบริบทผู้ใช้ปัจจุบัน

2. เชื่อมต่อกับ Microsoft Graph และแจ้งให้ยินยอมในขอบเขตต่อไปนี้: Policy.ReadWrite.DeviceConfiguration, DeviceManagementConfiguration.ReadWrite.All

3. ตรวจสอบว่า Microsoft Entra LAPS เปิดใช้งานภายในผู้เช่าหรือไม่ และเปิดใช้งานหากไม่ได้เปิดใช้งาน

4. สร้างนโยบายการคุ้มครองบัญชี LAPS ด้วยการตั้งค่าต่อไปนี้:

ชื่อนโยบาย : Windows LAPS
ตำแหน่งสำรอง : Microsoft Entra
อายุรหัสผ่าน : 7 วัน
ความยาวของรหัสผ่าน : ไม่ได้กำหนดค่า (ค่าเริ่มต้น 14 วัน)
ชื่อบัญชี : $ชื่อบัญชี
ระดับความซับซ้อน : 4
การดำเนินการตรวจสอบความถูกต้องของโพสต์ : รีเซ็ตรหัสผ่าน
ความล่าช้าของการตรวจสอบความถูกต้องของโพสต์ : 1 ชั่วโมง

5. สร้างแพ็คเกจการแก้ไขเพื่ออัปโหลดสคริปต์ที่กำหนดไว้ล่วงหน้าเพื่อสร้างบัญชีผู้ใช้ LAPS ด้วยชื่อผู้ใช้ที่กำหนด (ใช้สคริปต์ที่พบในบล็อกของฉัน: วิธีสร้างบัญชีผู้ดูแลระบบภายในบนอุปกรณ์ Windows ด้วย Intune)

6. ตัดการเชื่อมต่อจาก Microsoft Graph

เมื่อรันแล้ว สคริปต์จะทำงานผ่านงานต่างๆ ภายในไม่กี่วินาทีและส่งออกผลลัพธ์ดังนี้:

ห่อ

สคริปต์นี้มีจุดมุ่งหมายเพื่อเพิ่มความเร็วในการปรับใช้ทรัพยากรใน Intune โดยไม่จำเป็นว่าจะช่วยคุณในการโยกย้ายไปยัง Windows LAPS คุณยังคงต้องวางแผนการปรับใช้ของคุณกับลูกค้าอย่างรอบคอบเพื่อให้ครอบคลุมรายการต่างๆ เช่น บทบาทที่กำหนดเอง สิทธิ์ ความเป็นเจ้าของ และการสนับสนุน ไม่ว่าคุณจะใช้งานครั้งแรกหรือย้ายจาก LAPS ภายในองค์กร