Verwaltung lokaler Administratorkennwörter

RealmJoin verwaltet individuelle lokale Admin-Konten (LAPS) über die API, wobei die Kennwörter verschlüsselt in Azure Key Vault gespeichert werden.

Übersicht

Local Administrator Password Solution (LAPS) behebt das Problem, identische administrative Anmeldedaten auf jedem Windows-Computer für Support- und Notfallzwecke zu verwenden. Für sich genommen erstellt LAPS ein zufällig generiertes Passwort für ein lokales Administratorkonto.

Mit RealmJoin ist es möglich, sichere und individualisierte administrative Konten zu verwalten, entweder für lokalen Support oder für Remote-Support in großem Maßstab. RealmJoin speichert verschlüsselte Passwörter in Azure Key Vault innerhalb des Tenant des Kunden und speichert Audit-Logs jedes Zugriffs auf diese Anmeldedaten.

Die API von RealmJoin ermöglicht es Ihnen, für ein bestimmtes Gerät in Ihrem Tenant ein "Support-Konto" (lokaler Administrator) anzufordern. Siehe die Swagger-Beschreibung von RealmJoin um im Detail zu sehen, welche Operationen derzeit unterstützt werden. Die Verwendung von LAPS mit RealmJoin erfordert die Bereitstellung des RealmJoin Windows Client.

Es wird davon ausgegangen, dass Sie LAPS in Ihrer Umgebung korrekt eingerichtet und den RealmJoin Windows Client auf Ihren Geräten bereitgestellt haben. Stellen Sie außerdem sicher, dass Sie sich authentifizieren jede Anfrage an die API von RealmJoin mit einem geeigneten HTTP-Autorisierungsheader.

Anfordern eines Support-Kontos

Weisen Sie RealmJoin an, mit dem Endpunkt ein lokales Support-Konto auf dem Zielgerät zu erstellen /laps/request. Die Anfrage wird mithilfe von Application Insights in die Warteschlange gestellt und vom RealmJoin Backend und dem RealmJoin Windows Client so bald wie möglich verarbeitet. Wenn das Konto erstellt/verwendbar ist.

Der Endpunkt gibt eine Schätzung zurück, wie lange die Erstellung des Kontos dauern wird. Wenn das Konto bereit ist, siehe hier wie die Anmeldedaten abgefragt werden.

Beispiel

Nehmen wir die folgende Situation an:

• Sie haben Ihre RealmJoin-API-Anmeldedaten und sie in dC0xMjM0MTIzNDpteVMzY3JldCE= (Base64)
• Das Entra des Zielgeräts deviceId ist 9999dab9-f946-40ee-9a17-2500c8d00878. Beachten Sie, dass dies nicht die Entra-Objekt-ID ist (anderes Attribut)!

Derzeit existiert auf dem Zielgerät kein Support-Konto.

Lokale Konten - vor dem Anfordern eines Support-Kontos

Lassen Sie uns die anfordern:

Header:

Authorization: Basic dC0xMjM0MTIzNDpteVMzY3JldCE=
Content-Type: application/json

Anfrage / URI:

POST https://customer-api.realmjoin.com/laps/request?deviceID=9999dab9-f946-40ee-9a17-2500c8d00878

Dieser Endpunkt erwartet keinen Anfrage-Body.

Antwort

HTTP-Status: 200 (OK)

Inhalt (in JSON-Notation):

{
    "estimatedWaitTime": "00:12:31.8215813"
}

Die Antwort enthält die ungefähre Zeit, bis der RealmJoin Windows Client das lokale Support-Konto erstellt. In diesem Beispiel ist mit einer Wartezeit von mindestens 12 Minuten zu rechnen. Wenn der Client längere Zeit nicht gesehen wurde, erhalten Sie möglicherweise null als Schätzung statt einer Zahl.

Der RealmJoin Windows Client fragt standardmäßig alle 30 Minuten nach Aufträgen. Die von der API angebotene Schätzung basiert auf dem letzten Zeitpunkt, zu dem der Windows Client sich gemeldet hat.

Anmeldedaten des Support-Kontos abrufen

Der Endpunkt /laps/retrieve wird verwendet, um abzufragen, ob bereits ein Support-Konto erstellt wurde, sowie um die tatsächlichen Anmeldedaten des Support-Kontos abzurufen.

Lassen Sie uns dasselbe abfragen deviceId von 9999dab9-f946-40ee-9a17-2500c8d00878 wie im Beispiel oben.

In unserem Beispiel wurde auf dem Zielgerät durch den RealmJoin Windows Client ein Support-Konto (Vollständiger Name: "Local Support Admin Account") erstellt:

Lokale Konten - Support-Konto wurde erfolgreich erstellt

Auf Anfrage

Header:

Authorization: Basic dC0xMjM0MTIzNDpteVMzY3JldCE=
Content-Type: application/json

Anfrage / URI:

POST https://customer-api.realmjoin.com/laps/retrieve?deviceID=9999dab9-f946-40ee-9a17-2500c8d00878

Dieser Endpunkt erwartet keinen Anfrage-Body.

Antwort

Wenn die Anmeldedaten noch nicht verfügbar sind, gibt der Endpunkt den HTTP-Status zurück: 404 (Not Found) und einige technische Details im Inhalt:

Inhalt (JSON)

{
    "type": "https://tools.ietf.org/html/rfc7231#section-6.5.4",
    "title": "Nicht gefunden",
    "status": 404,
    "traceId": "00-4c56c3cb0f9b394abf934b107b148613-1234b2497e261649-00"
}

Sie können weiter abfragen, bis die Anmeldedaten bereit sind.

Wenn die Anmeldedaten bereit sind, gibt der Endpunkt den HTTP-Status zurück: 200 (OK) und die Anmeldedaten:

Inhalt (JSON)

{
    "password": "Upji1234",
    "username": "ADM-5A2F2169",
    "accountExpirationDate": "2021-12-21T02:14:07+00:00"
}

Sie können diese Anmeldedaten verwenden, um einem Benutzer Support zu leisten, z. B. indem Sie sich über den AnyDesk Supporter Client verbinden.

Wie Sie sehen, hat ein Support-Konto standardmäßig eine begrenzte Lebensdauer und muss neu erstellt werden, wenn nach dem Ablaufdatum noch Zugriff benötigt wird. Dadurch wird sichergestellt, dass keine Anmeldedaten mit hohen Berechtigungen von einem täglichen Betriebsvorgang zum nächsten bestehen bleiben.