Lösung für lokale Administratorkennwörter (LAPS)
RealmJoin LAPS generiert starke Kennwörter für lokale Konten, die in Ihrem eigenen Azure Key Vault gespeichert und über Application Insights oder Log Analytics geprüft werden.
Unsere Local Administrator Password Solution (LAPS) wurde entwickelt, um das Problem identischer Konten in Ihrer Umgebung für Benutzersupport oder Privilegienerweiterung zu lösen. LAPS erstellt starke Passwörter für lokale Konten, die sicher gespeichert werden in Ihrem eigenen Azure Key Vault. Für die Prüfung haben Sie die Möglichkeit, eine Application Insights Instanz oder eine Log Analytics Workspace.
Voraussetzungen
Bevor Sie mit LAPS beginnen können, müssen Sie die folgenden Voraussetzungen erfüllen:
Einrichten Application Insights ODER Log Analytics Workspace
LAPS-Kontotypen explizit über Gruppen- (oder Benutzer-) Einstellungen aktivieren
Wir betrachten beide unten.
Protokollierung
Application Insights und Log Analytics spielen bei der Verwendung von LAPS eine wichtige Rolle. Die von LAPS ausgelösten Passwortanforderungen werden von RealmJoin protokolliert und an die konfigurierte Application-Insights-Instanz oder Log Analytics Workspace weitergeleitet. So haben Sie vollständigen Einblick, wer Passwörter abruft.
Es muss nur eine Form der Protokollierung gewählt werden – entweder Application Insights oder Log Analytics. Die Protokollierung ist bei der Einrichtung von LAPS optional und kann übersprungen werden, wenn Ihre Organisation diese Informationen nicht benötigt.
Weitere Details finden Sie in unseren Application Insights und Log Analytics Artikeln.
Gruppeneinstellungen
LAPS unterstützt die folgenden globalen Einstellungen.
LocalAdminManagement.Inactive
false
Setzen Sie es auf true um diese Funktion zu deaktivieren. Dabei werden bereinigt und gelöscht alle lokalen Konten.
Die folgenden Kontotypen werden unterstützt.
LocalAdminManagement.EmergencyAccount
nicht definiert (inaktiv)
LocalAdminManagement.SupportAccount
nicht definiert (inaktiv)
LocalAdminManagement.PrivilegedAccount
nicht definiert (inaktiv)
Jeder Kontotyp kann mithilfe der folgenden gemeinsamen Einstellungen unabhängig konfiguriert werden. Einige Typen verfügen über spezielle Einstellungen, die im jeweiligen Abschnitt beschrieben werden.
$.NamePattern
"ADM-{HEX:8}"
Besonders. Siehe Privilegiertes Konto. Muss 20 Zeichen oder weniger lang sein.
$.DisplayName
"RealmJoin Lokaler Administrator"
Anzeigename
$.PasswordCharSet
"!#%+23456789:=?@ABCDEFGHJKLMNPRSTUVWXYZabcdefghijkmnopqrstuvwxyz"
Zeichensatz für den Passwortgenerator (schließt ähnlich aussehende Zeichen aus)
$.PasswordLength
20
Passwortlänge
$.MaxStaleness
Besonders. Siehe Neuerstellung des Kontos.
Vorgegebene Passwortvorlagen, siehe Passwortgenerierung.
$.PasswordRenewals
Besonders. Siehe Privilegiertes Konto.
Festes Ablaufdatum des Kontos (ISO-8601-Format)
Passwort Generierung
Standardmäßig werden anhand der Einstellungen wirklich zufällige Passwörter generiert PasswordCharSet und PasswordLength. Der Standardzeichensatz wurde gewählt, um ähnlich aussehende Zeichen wie I1l und O0. Der kryptografische Zufallszahlengenerator von Windows wird verwendet, um für eine hochwertige Zufälligkeit bei der Generierung zu sorgen.
Mit wirklich zufälligen Passwörtern zu arbeiten kann mühsam sein, weshalb auch spezielle vorgegebene Vorlagen unterstützt werden.
Voreinstellung 1 ⇒
[1 Großbuchstabe][3 Kleinbuchstaben][4 Ziffern]Tuci9325Lnso5050Khwn2174
Voreinstellung 2 ⇒
Key-[6 digit]-[6 digit]-[6 digit]-[6 digit]-[6 digit]-[6 digit]-[6 digit]-[6 digit]Die Einstellung PasswordLength wird unterstützt! Die Einstellung bestimmt die Anzahl der Ziffernblöcke.
Key-012993-230956-976475(PasswordLength = 3)Key-497254-679158-631224-278319(PasswordLength = 4)Key-506179-861369-706482-613244-730371-097689-404350-340073(Standard)
Voreinstellung 3 ⇒
[Wort]-[Wort]-[Wort]-[Wort]-[Wort]-[Wort]generiert aus Eff Long ListDie Einstellung PasswordLength wird unterstützt! Die Einstellung bestimmt die Anzahl der Wörter.
Exciting-Unearth-Cried-87(PasswordLength = 3)Neurology-Astute-Debate-Marshy-15(PasswordLength = 4)Marshy-Darkened-Undertake-Reset-Shrouded-Wise-26(Standard)
Neuerstellung des Kontos
Nachdem ein Konto verwendet wurde, kann RealmJoin so konfiguriert werden, dass das Konto mithilfe von MaxStaleness Einstellung gelöscht und neu erstellt wird. Auf diese Weise bleiben Konten immer sauber. Wenn dies nicht konfiguriert ist, werden Konten niemals neu erstellt und bleiben unbegrenzt bestehen.
RealmJoin löscht das Konto und sein Profil. Alle Dateien werden dauerhaft gelöscht.
Wenn ein Konto noch in Verwendung ist – also weiterhin angemeldet, eine Sitzung offen ist, eine Anwendung mit dem Konto als ADM gestartet wurde und noch läuft – läuft das Konto zwar trotzdem ab, kann aber nicht gelöscht werden. Ein neues Konto kann nicht erstellt werden, solange das alte Konto nicht gelöscht ist.
Konfliktvermeidung
Obwohl RealmJoin sein Bestes tut, um Namenskonflikte bei der Verwaltung der Konten auf einem Gerät zu vermeiden, besteht immer die Möglichkeit, dass Konten auf einem Gerät bereits vorhanden sind und Konflikte verursachen. Deshalb unterstützt die NamePattern Einstellung diese für RealmJoin speziell bedeutungsvollen Token. Die Token werden durch die angegebene Funktion und ihren Längenparameter nach dem Doppelpunkt transformiert.
{HEX:8}⇒F4D027EF,B3C4F74E, ... (zufällige hexadezimale Zeichen){DEC:6}⇒506453,066946, ... (zufällige Dezimalzeichen){COUNT:2}⇒01,02, ... (Zähler, bleibt01wenn keine Konflikte bestehen)
Notfallkonto
Dieser Kontotyp ist Ihr Notfallzugriff auf das Gerät, falls es katastrophal ausfällt. Er wird proaktiv erstellt. So haben Sie für die Wiederherstellung immer Zugriff. Wir empfehlen, ihn zu konfigurieren für Neuerstellung des Kontos.
Beispiel
Schlüssel LocalAdminManagement.EmergencyAccount (für gemeinsame Einstellungen siehe Gruppeneinstellungen)
Support-Konto
Dieser Kontotyp kann für die Erstellung bei Bedarf konfiguriert werden. Er ist für die Verwendung in einem begrenzten Zeitfenster konzipiert – standardmäßig 12 Stunden – im On-Demand-Modus. Das Ablaufzeitfenster kann pro Tenant im RealmJoin Portal (LAPS-Tenant-Konfiguration).
Support-Konten und ihre Profile werden nach Ablauf des konfigurierten Ablaufzeitfensters (standardmäßig 12 Stunden) gelöscht, nachdem das Konto angefordert wurde, unabhängig von der Nutzung (nachdem sich der Support-Benutzer abgemeldet hat). Alle Dateien werden dauerhaft gelöscht.
Bei Verwendung des On-Demand-Modus sollte die Neuerstellung des Kontos (MaxStaleness) nicht verwendet werden. Es kann Ihren Support-Workflow beeinträchtigen.
Anforderungen für den On-Demand-Workflow:
Der Modus wird aktiviert, indem gesetzt wird
"OnDemand": true.Ein Benutzer ist angemeldet
Der RealmJoin-Agent läuft
Das Gerät ist mit dem Internet verbunden
Das Gerät kann das RealmJoin-Backend erreichen
Wenn nicht im On-Demand-Modus, wird es proaktiv erstellt.
Beispiel
Schlüssel LocalAdminManagement.SupportAccount (für gemeinsame Einstellungen siehe Gruppeneinstellungen)
Privilegiertes Konto
Dieser Kontotyp ist für Power-User gedacht, die auf ihren eigenen Geräten regelmäßige, aber kontrollierte Administratorrechte benötigen. Ein festes Ablaufdatum des Kontos kann angegeben werden (Ablauf).
Für diesen Kontotyp sollte die Neuerstellung des Kontos (MaxStaleness) nicht verwendet werden. Der ganze Zweck besteht darin, für Ihre Benutzer ein dauerhaftes Konto zu haben.
Erzwungene Passwortrotationen werden unterstützt:
2021-11-20T12:34:56+01:00: Beliebiger expliziter Zeitstempel im ISO-8601-Format. Es können mehrere Zeitstempel angegeben werden.DayAfterCreate: Nachdem das Konto erstellt wurde, wird das Passwort des Kontos geändert. Das ist nützlich, wenn Benutzer Windows Hello für zusätzliche Anmeldeoptionen einrichten sollen.Jährlich,MonatlichoderWöchentlich: Das kürzere Intervall hat Vorrang (Wöchentlich>Monatlich>Jährlich). Wenn keine weiteren Bedingungen angegeben sind, ist der Standard für "1st day of month"Monatlichoder "monday" fürWöchentlich. Zusätzlich,Jährlichist standardmäßig das Datum der letzten Passwortsetzung + 365 Tage. Alle sieben Wochentage können angegeben werden. WennMittwochundWöchentlichangegeben sind, wird das Passwort jeden Mittwoch geändert. WennMittwochundMonatlichangegeben sind, wird das Passwort am ersten Mittwoch jedes Monats geändert. Die Kombination vonJährlichmit Wochentagen legt die Frist auf den zuletzt möglichen angegebenen Wochentag unmittelbar vor Ablauf von 365 Tagen fest.
Beispiel
Schlüssel LocalAdminManagement.PrivilegedAccount (für gemeinsame Einstellungen siehe Gruppeneinstellungen)
Passwörter abrufen
Verwenden Sie das RealmJoin Portal, um auf die Passwörter zuzugreifen.
Wer auf LAPS-Konten zugreifen kann
Was ein Portalbenutzer mit den LAPS-Konten eines Geräts tun kann, hängt von seiner RealmJoin-Rolle ab:
Admin, fortgeschrittener Supporter
Passwort lesen
Passwort lesen, Zugriff anfordern
Passwort lesen, Zugriff anfordern
Prüfer
Nur Konto anzeigen
Nur Konto anzeigen
Nur Konto anzeigen
Supporter
Passwort lesen
Passwort lesen, Zugriff anfordern
—
Benutzer, die mehrere Rollen innehaben, erhalten den kombinierten Zugriff dieser Rollen.
Benutzerdefinierte Rollen
Benutzerdefinierte Rollen können mit den folgenden Berechtigungen LAPS-Zugriff gewähren. Jede Berechtigung gewährt genau den LAPS-Zugriff der entsprechenden integrierten Rolle aus der obigen Tabelle. Sie gewährt keine anderen Berechtigungen dieser Rolle.
CanUseDeviceLapsAsAdvancedSupporter
fortgeschrittener Supporter
CanSeeDeviceLapsAsAuditor
Prüfer
CanUseDeviceLapsAsSupporter
Supporter
Für Zugriffsbeschränkungen, zählt ein Benutzer mit einer dieser Berechtigungen als Benutzer mit der entsprechenden Rolle. Zum Beispiel ein Benutzer mit CanUseDeviceLapsAsSupporter muss in einer der Gruppen sein, die unter Supporter.
Zugriff beschränken
Verwenden Sie die Restrict.LAPS Einstellung, um einzuschränken, welche Portalbenutzer auf die LAPS-Konten bestimmter Geräte zugreifen können, beispielsweise auf die Geräte Ihrer Führungskräfte. Siehe Zugriffsbeschränkungen für Details.
Der LAPS Abschnitt eines Geräts im RealmJoin Portal zeigt, welche LAPS-Rollen Sie innehaben und welche davon Restrict.LAPS für dieses Gerät berechtigt.
Self-Service aktivieren
Benutzer können auf Konten zugreifen, die auf ihren eigenen Geräten erstellt wurden (sie sind „PrimaryUser“), wenn aktiviert über die RealmJoin Portal ab Version 2022.5.1. Um sie zu aktivieren, definieren Sie eine Einstellung mit dem Schlüssel Allow.SelfLAPS. Diese Einstellung kann für Gruppen und Benutzer definiert werden. Wie bei allen Einstellungen mit dem Präfix Allow.* werden sie über den Benutzer und alle seine Gruppen per UND verknüpft.
Der Wert kann auch ein reiner boolescher Wert sein true/false. Dies kann als Platzhalter verwendet werden und umfasst jeden aktuellen und zukünftigen Kontotyp. Bitte beachten Sie, dass dies nur zum Deaktivieren des Zugriffs empfohlen wird (false).
Eine Beispielkonfiguration könnte wie folgt aussehen:
Alle Remote-Mitarbeiter
{ "EmergencyAccount": true }
Remote-Mitarbeiter können auf das Notfallkonto ihrer eigenen Geräte zugreifen.
Alle Entwickler
{ "EmergencyAccount": true, "PrivilegedAccount": true }
Entwickler können auf ihr Notfallkonto und ihr privilegiertes Konto zugreifen – unabhängig davon, ob sie Remote-Mitarbeiter sind oder nicht.
Alle Auszubildenden
false
Auszubildende dürfen niemals Zugriff auf einen der drei Kontotypen haben und alle zukünftigen Typen, selbst wenn sie Remote-Mitarbeiter oder Entwickler sind
Zuletzt aktualisiert
War das hilfreich?