Local Admin Password Solution (LAPS)
Unsere Local Administrator Password Solution (LAPS) wurde entwickelt, um das Problem identischer Konten in Ihrer Umgebung für Benutzersupport oder Rechteerweiterung zu lösen. LAPS erstellt starke Passwörter für lokale Konten, die sicher in eigenem Azure Key Vault. Für die Prüfung/Auditierung haben Sie die Möglichkeit, eine Application Insights Instanz oder einen Log Analytics Workspace.
Voraussetzungen
Bevor Sie mit LAPS beginnen können, müssen Sie die folgenden Voraussetzungen erfüllen:
Einrichten von Application Insights ODER Log Analytics Workspace
LAPS-Kontotypen explizit über Gruppen- (oder Benutzer-)Einstellungen aktivieren
Wir betrachten beide unten.
Protokollierung
Application Insights und Log Analytics spielen eine wichtige Rolle bei der Verwendung von LAPS. Die durch LAPS ausgelösten Passwortanforderungen werden von RealmJoin protokolliert und an die konfigurierte Application Insights-Instanz oder den Log Analytics Workspace weitergeleitet. Auf diese Weise haben Sie vollständige Einsicht, wer Passwörter abruft.
Es muss nur eine Form der Protokollierung gewählt werden – entweder Application Insights oder Log Analytics. Die Protokollierung ist optional beim Einrichten von LAPS und kann übersprungen werden, wenn Ihre Organisation diese Informationen nicht benötigt.
Weitere Details finden Sie in unseren Application Insights als auch für Log Analytics Artikeln.
Gruppeneinstellungen
LAPS unterstützt die folgenden globalen Einstellungen.
LocalAdminManagement.Inactive
false
Auf true setzen, um diese Funktion zu deaktivieren. Dadurch werden bereinigt und gelöscht alle lokalen Konten.
Die folgenden Kontotypen werden unterstützt.
LocalAdminManagement.EmergencyAccount
undefiniert (inaktiv)
LocalAdminManagement.SupportAccount
undefiniert (inaktiv)
LocalAdminManagement.PrivilegedAccount
undefiniert (inaktiv)
Jeder Kontotyp kann unabhängig mit den folgenden gemeinsamen Einstellungen konfiguriert werden. Einige Typen haben spezielle Einstellungen, die in ihrem jeweiligen Abschnitt beschrieben sind.
In der folgenden Tabelle $ steht für einen der drei Konto JSON-Objekt von oben.
$.DisplayName
"RealmJoin Local Administrator"
Anzeigename
$.PasswordCharSet
"!#%+23456789:=?@ABCDEFGHJKLMNPRSTUVWXYZabcdefghijkmnopqrstuvwxyz"
Zeichensatz für den Passwortgenerator (schließt ähnlich aussehende Zeichen aus)
$.PasswordLength
20
Passwortlänge
$.MaxStaleness
Besonders. Siehe Konto-Neuerstellung.
Vorgestellte Passwortvorlagen, siehe Passwortgenerierung.
$.PasswordRenewals
Besonders. Siehe Privilegiertes Konto.
Feste Ablaufdatum des Kontos (ISO-8601-Format)
Passwort Erneuerung
Standardmäßig werden wirklich zufällige Passwörter basierend auf den Einstellungen generiert PasswordCharSet als auch für PasswordLength. Der Standardzeichensatz wurde so gewählt, dass ähnlich aussehende Zeichen wie I1l als auch für O0. Für die Erzeugung wird der kryptografische Zufallszahlengenerator von Windows verwendet, um hochwertige Zufälligkeit sicherzustellen.
RealmJoin behandelt automatisch Probleme mit Windows-Anforderung an die Komplexität bei der Kontoerstellung. Wie bei allen wirklich zufälligen Passwörtern kann es vorkommen, dass erzeugte Passwörter die Komplexitätsanforderungen nicht erfüllen. Sollte dies passieren, führt RealmJoin bis zu drei Runden der Passwortgenerierung durch, bis ein brauchbares Passwort erzeugt wird. Es besteht eine statistisch verbleibend geringe Wahrscheinlichkeit, dass alle Wiederholungsversuche überschritten werden. In diesem Fall sehen Sie eine Meldung in der Service-Protokolldatei ähnlich wie Alle Wiederholungen überschritten. Der gesamte Prozess wird beim nächsten Lauf der internen Konfigurationsprüfungen neu gestartet (siehe Einstellung CheckInterval).
Wirklich zufällige Passwörter können mühsam im Umgang sein, weshalb auch spezielle voreingestellte Vorlagen unterstützt werden.
Vorgabe 1 ⇒
[1 Großbuchstabe][3 Kleinbuchstaben][4 Ziffern]Tuci9325Lnso5050Khwn2174
Vorgabe 2 ⇒
Key-[6 Ziffern]-[6 Ziffern]-[6 Ziffern]-[6 Ziffern]-[6 Ziffern]-[6 Ziffern]-[6 Ziffern]-[6 Ziffern]Einstellung PasswordLength wird unterstützt! Die Einstellung bestimmt die Anzahl der Ziffernblöcke.
Key-012993-230956-976475(PasswordLength = 3)Key-497254-679158-631224-278319(PasswordLength = 4)Key-506179-861369-706482-613244-730371-097689-404350-340073(Standard)
Vorgabe 3 ⇒
[Wort]-[Wort]-[Wort]-[Wort]-[Wort]-[Wort]generiert aus Eff Long ListEinstellung PasswordLength wird unterstützt! Die Einstellung bestimmt die Anzahl der Wörter.
Exciting-Unearth-Cried-87(PasswordLength = 3)Neurology-Astute-Debate-Marshy-15(PasswordLength = 4)Marshy-Darkened-Undertake-Reset-Shrouded-Wise-26(Standard)
Konto-Neuerstellung
Nachdem ein Konto verwendet wurde, kann RealmJoin so konfiguriert werden, dass das Konto gelöscht und anhand der MaxStaleness Einstellung neu erstellt wird. Auf diese Weise sind Konten immer sauber. Wenn nicht konfiguriert, werden Konten nie neu erstellt und bleiben unbegrenzt bestehen.
RealmJoin wird das Konto und dessen Profil löschen. Alle Dateien werden dauerhaft gelöscht.
Wenn ein Konto noch in Verwendung ist – noch angemeldet, Sitzung offen, Anwendung als ADM damit gestartet und noch laufend – läuft das Konto zwar aus, kann aber nicht gelöscht werden. Ein neues Konto kann nicht erstellt werden, solange das alte Konto nicht gelöscht ist.
Konfliktvermeidung
Obwohl RealmJoin sein Bestes tut, um Namenskonflikte bei der Verwaltung der Konten auf einem Gerät zu vermeiden, besteht immer die Möglichkeit, dass Konten bereits auf einem Gerät existieren und Konflikte verursachen. Aus diesem Grund unterstützt die NamePattern Einstellung diese Token mit besonderer Bedeutung für RealmJoin. Die Token werden durch die angegebene Funktion und ihren Längenparameter nach dem Doppelpunkt transformiert.
{HEX:8}⇒F4D027EF,B3C4F74E, ... (zufällige hexadezimale Zeichen){DEC:6}⇒506453,066946, ... (zufällige dezimale Zeichen){COUNT:2}⇒01,02, ... (Zähler, bleibt01wenn keine Konflikte bestehen)
Notfallkonto
Dieser Kontotyp ist Ihr Backup-Zugang zum Gerät, falls es katastrophal ausfällt. Er wird proaktiv erstellt. Auf diese Weise haben Sie immer Zugang zur Wiederherstellung. Wir empfehlen, ihn für Konto-Neuerstellung.
Beispiel
Schlüssel LocalAdminManagement.EmergencyAccount zu konfigurieren (für allgemeine Einstellungen siehe Gruppeneinstellungen)
Support-Konto
Dieser Kontotyp kann für die bedarfsorientierte Erstellung konfiguriert werden. Er ist für die Verwendung in einem begrenzten Zeitfenster von 12 Stunden im On-Demand-Modus vorgesehen.
Support-Konten und deren Profile werden 12 Stunden nach Anforderung des Kontos gelöscht, unabhängig von der Nutzung (nachdem sich der Support-Benutzer abgemeldet hat). Alle Dateien werden dauerhaft gelöscht.
Bei Verwendung des On-Demand-Modus sollte die Konto-Neuerstellung (MaxStaleness) nicht verwendet werden). Sie könnte Ihren Support-Workflow stören.
Anforderungen für den On-Demand-Workflow:
Der Modus wird aktiviert durch Setzen von
"OnDemand": true.Ein Benutzer ist angemeldet
Der RealmJoin-Agent läuft
Das Gerät ist mit dem Internet verbunden
Das Gerät kann das RealmJoin-Backend erreichen
Es kann bis zu 30 Minuten dauern, bis der RealmJoin-Agent die Anforderung bemerkt. Der angemeldete Benutzer kann diesen Vorgang beschleunigen, indem er im RealmJoin-Tray-Menü "Dieses Gerät synchronisieren" wählt.
Wenn es nicht im On-Demand-Modus ist, wird es proaktiv erstellt.
Beispiel
Schlüssel LocalAdminManagement.SupportAccount zu konfigurieren (für allgemeine Einstellungen siehe Gruppeneinstellungen)
Privilegiertes Konto
Dieser Kontotyp ist für Power-User gedacht, die regelmäßige, aber kontrollierte Administratorrechte auf ihren eigenen Geräten benötigen. Ein festes Ablaufdatum des Kontos kann angegeben werden (Ablaufdatum).
Für diesen Typ sollte die Konto-Neuerstellung (MaxStaleness) nicht verwendet werden. Der ganze Sinn ist es, ein persistentes Konto für Ihre Benutzer zu haben.
Erzwungene Passwortrotationen werden unterstützt:
2021-11-20T12:34:56+01:00: Jeder explizite Zeitstempel im ISO-8601-Format. Mehrere Zeitstempel können angegeben werden.DayAfterCreate: Nachdem das Konto erstellt wurde, wird das Passwort des Kontos geändert. Dies ist nützlich, wenn Benutzer Windows Hello für zusätzliche Anmeldeoptionen einrichten sollen.Jährlich,MonatlichoderWöchentlich: Das kürzere Intervall hat Vorrang (Wöchentlich>Monatlich>Jährlich). Wenn keine weiteren Bedingungen angegeben sind, sind die Standardwerte "1. Tag des Monats" fürMonatlichoder "Montag" fürWöchentlich. Zusätzlich gilt,Jährlichals Standard das Datum der letzten Passwortsetzung + 365 Tage. Alle sieben Wochentage können angegeben werden. Wenn alsoMittwochals auch fürWöchentlichangegeben sind, wird das Passwort jeden Mittwoch geändert. WennMittwochals auch fürMonatlichangegeben sind, wird das Passwort am ersten Mittwoch jedes Monats geändert. Die Kombination vonJährlichmit Wochentagen setzt die Frist auf den zuletzt möglichen angegebenen Wochentag kurz bevor 365 Tage verstrichen sind.
Beispiel
Schlüssel LocalAdminManagement.PrivilegedAccount zu konfigurieren (für allgemeine Einstellungen siehe Gruppeneinstellungen)
Zugriff auf Passwörter
Verwenden Sie das RealmJoin-Portal, um auf die Passwörter zuzugreifen.
Self-Service aktivieren
Benutzer können auf Konten zugreifen, die auf ihren eigenen Geräten erstellt wurden (sie sind "PrimaryUser"), wenn dies über die RealmJoin-Portal ab Version 2022.5.1aktiviert ist. Um dies zu aktivieren, definieren Sie eine Einstellung mit dem Schlüssel Allow.SelfLAPS. Diese Einstellung kann für Gruppen und Benutzer definiert werden. Wie bei allen Einstellungen, die mit Allow.* präfixiert sind, werden sie über den Benutzer und alle seine Gruppen mit einer UND-Verknüpfung zusammengeführt.
Der Wert kann auch ein reiner Boolean sein true/false. Dies kann als Platzhalter verwendet werden und umfasst jeden aktuellen und zukünftigen Kontotyp. Bitte beachten Sie, dass dies nur zum Deaktivieren des Zugriffs empfohlen wird (false).
Früher wurde empfohlen, diese Einstellung auf truezu setzen. Da wir RealmJoin jedoch weiter ausbauen, werden neue Kontotypen hinzugefügt. Daher wird dringend empfohlen, alle true Werte auf die explizitere Objektnotation zu migrieren
Eine Beispielkonfiguration könnte so aussehen:
Alle Remote-Mitarbeiter
{ "EmergencyAccount": true }
Remote-Mitarbeiter können auf das Notfallkonto ihrer eigenen Geräte zugreifen.
Alle Entwickler
{ "EmergencyAccount": true, "PrivilegedAccount": true }
Entwickler können auf ihr Notfallkonto und ihr privilegiertes Konto zugreifen – unabhängig davon, ob sie Remote-Mitarbeiter sind oder nicht.
Alle Auszubildenden
false
Auszubildende dürfen niemals Zugriff auf einen der drei Kontotypen haben als auch für alle zukünftigen Typen, selbst wenn sie Remote-Mitarbeiter oder Entwickler sind
SelfLAPS ist mächtiger als die reguläre LAPS-Rolle. Das heißt, wenn ein Admin-Benutzer LAPS mit seinem regulären Benutzerkonto verwaltet, kann er sein eigenes LAPS nicht verwalten.
Abhilfe: Aktivieren Sie SelfLAPS für diese Admin-Konten oder verwenden Sie getrennte Admin-Konten.
Zuletzt aktualisiert
War das hilfreich?