Solution de mot de passe administrateur local (LAPS)
RealmJoin LAPS génère des mots de passe robustes pour les comptes locaux, stockés dans votre propre Azure Key Vault et audités via Application Insights ou Log Analytics.
Notre solution de mot de passe d’administrateur local (LAPS) a été conçue pour résoudre le problème de l’utilisation de comptes identiques dans votre environnement pour le support utilisateur ou l’élévation de privilèges. LAPS crée des mots de passe robustes pour les comptes locaux, qui sont stockés de manière sécurisée dans votre propre Azure Key Vault. Pour l’audit, vous avez la possibilité de fournir une Application Insights instance ou un Log Analytics Workspace.
Pré-requis
Avant de pouvoir commencer avec LAPS, vous devez remplir les pré-requis suivants :
Configuration Application Insights OU Log Analytics Workspace
Activez explicitement les types de comptes LAPS à l’aide des paramètres de groupe (ou utilisateur)
Nous examinerons les deux ci-dessous.
Journalisation
Application Insights et Log Analytics jouent un rôle important lors de l’utilisation de LAPS. Les demandes de mot de passe déclenchées par LAPS sont consignées par RealmJoin et transmises à l’instance Application Insights configurée ou au Log Analytics Workspace. De cette façon, vous avez une visibilité complète sur qui récupère les mots de passe.
Un seul format de journalisation doit être choisi — soit Application Insights, soit Log Analytics. La journalisation est facultative lors de la configuration de LAPS et peut être omise si votre organisation n’a pas besoin de ces informations.
Vous trouverez plus de détails dans nos Application Insights et Log Analytics articles.
Paramètres de groupe
LAPS prend en charge les paramètres globaux suivants.
LocalAdminManagement.Inactive
faux
Définir sur vrai pour forcer la désactivation de cette fonctionnalité. Cela nettoiera et supprimera tous les comptes locaux.
LocalAdminManagement.CheckInterval
"01:00"
Intervalle des vérifications de configuration internes (HH:mm)
Les types de comptes suivants sont pris en charge.
LocalAdminManagement.EmergencyAccount
undefined (inactif)
LocalAdminManagement.SupportAccount
undefined (inactif)
LocalAdminManagement.PrivilegedAccount
undefined (inactif)
Chaque type de compte peut être configuré indépendamment à l’aide des paramètres communs suivants. Certains types disposent de paramètres spéciaux décrits dans leur section respective.
$.DisplayName
"RealmJoin Local Administrator"
Nom d’affichage
$.PasswordCharSet
"!#%+23456789:=?@ABCDEFGHJKLMNPRSTUVWXYZabcdefghijkmnopqrstuvwxyz"
Jeu de caractères pour le générateur de mots de passe (exclut les caractères similaires)
$.PasswordLength
20
Longueur du mot de passe
$.MaxStaleness
Spécial. Voir Recréation du compte.
Modèles de mot de passe prédéfinis, voir Génération de mots de passe.
$.PasswordRenewals
Spécial. Voir Compte privilégié.
Date d’expiration fixe du compte (format ISO-8601)
Mot de passe génération
Par défaut, des mots de passe véritablement aléatoires seront générés en fonction des paramètres PasswordCharSet et PasswordLength. Le jeu de caractères par défaut a été choisi pour exclure les caractères visuellement similaires comme I1l et O0. Le générateur de nombres aléatoires cryptographiques de Windows est utilisé pour fournir une aléa de haute qualité lors de la génération.
Les mots de passe véritablement aléatoires peuvent être pénibles à utiliser, c’est pourquoi des modèles prédéfinis spéciaux sont également pris en charge.
Préréglage 1 ⇒
[1 majuscule][3 minuscules][4 chiffres]Tuci9325Lnso5050Khwn2174
Préréglage 2 ⇒
Key-[6 chiffres]-[6 chiffres]-[6 chiffres]-[6 chiffres]-[6 chiffres]-[6 chiffres]-[6 chiffres]-[6 chiffres]Le paramètre PasswordLength est pris en charge ! Ce paramètre détermine le nombre de blocs de chiffres.
Key-012993-230956-976475(PasswordLength = 3)Key-497254-679158-631224-278319(PasswordLength = 4)Key-506179-861369-706482-613244-730371-097689-404350-340073(par défaut)
Préréglage 3 ⇒
[mot]-[mot]-[mot]-[mot]-[mot]-[mot]généré à partir de Eff Long ListLe paramètre PasswordLength est pris en charge ! Ce paramètre détermine le nombre de mots.
Exciting-Unearth-Cried-87(PasswordLength = 3)Neurology-Astute-Debate-Marshy-15(PasswordLength = 4)Marshy-Darkened-Undertake-Reset-Shrouded-Wise-26(par défaut)
Recréation du compte
Après qu’un compte a été utilisé, RealmJoin peut être configuré pour supprimer et recréer le compte à l’aide du MaxStaleness paramètre. De cette façon, les comptes seront toujours propres. Si ce n’est pas configuré, les comptes ne seront jamais recréés et resteront en place indéfiniment.
RealmJoin supprimera le compte et son profil. Tous les fichiers seront supprimés définitivement.
Si un compte est toujours en cours d’utilisation — toujours connecté, session ouverte, application lancée avec ce compte en tant qu’ADM et toujours en cours d’exécution — le compte expirera quand même, mais ne pourra pas être supprimé. Un nouveau compte ne peut pas être créé tant que l’ancien compte n’a pas été supprimé.
Évitement des conflits
Même si RealmJoin fait de son mieux pour éviter les conflits de nommage lors de la gestion des comptes sur un appareil, il existe toujours la possibilité que des comptes existent déjà sur un appareil, ce qui provoque des conflits. C’est pourquoi le NamePattern paramètre prend en charge ces jetons ayant une signification particulière pour RealmJoin. Les jetons seront transformés par la fonction spécifiée et son paramètre de longueur suivant le deux-points.
{HEX:8}⇒F4D027EF,B3C4F74E, ... (caractères hexadécimaux aléatoires){DEC:6}⇒506453,066946, ... (caractères décimaux aléatoires){COUNT:2}⇒01,02, ... (compteur, restera01s’il n’existe aucun conflit)
Compte d’urgence
Ce type de compte constitue votre accès de secours à l’appareil en cas de défaillance catastrophique. Il sera créé de manière proactive. Ainsi, vous aurez toujours un accès pour la récupération. Nous recommandons de le configurer pour la recréation du compte.
Exemple
Clé LocalAdminManagement.EmergencyAccount (pour les paramètres communs, voir paramètres de groupe)
Compte de support
Ce type de compte peut être configuré pour une création à la demande. Il est conçu pour être utilisé dans une fenêtre temporelle limitée — 12 heures par défaut — en mode à la demande. La fenêtre d’expiration peut être ajustée par tenant dans la Portail RealmJoin (configuration du tenant LAPS).
Les comptes de support et leurs profils seront supprimés une fois la fenêtre d’expiration configurée (12 heures par défaut) écoulée depuis la demande du compte, indépendamment de l’utilisation (après la déconnexion de l’utilisateur de support). Tous les fichiers seront supprimés définitivement.
Lors de l’utilisation du mode à la demande, la recréation du compte (MaxStaleness) ne doit pas être utilisé. Cela peut interférer avec votre flux de travail de support.
Exigences pour le flux de travail à la demande :
Le mode est activé en définissant
"OnDemand": true.Un utilisateur est connecté
L’agent RealmJoin est en cours d’exécution
L’appareil est connecté à Internet
L’appareil peut joindre le backend RealmJoin
Lorsqu’il n’est pas en mode à la demande, il sera créé de manière proactive.
Exemple
Clé LocalAdminManagement.SupportAccount (pour les paramètres communs, voir paramètres de groupe)
Compte privilégié
Ce type de compte est conçu pour être utilisé par des utilisateurs avancés qui ont besoin de privilèges d’administrateur réguliers mais contrôlés sur leurs propres appareils. Une date d’expiration fixe du compte peut être spécifiée (Expiration).
Pour ce type, la recréation du compte (MaxStaleness) ne doit pas être utilisé. L’objectif est d’avoir un compte persistant pour vos utilisateurs.
Les rotations forcées du mot de passe sont prises en charge :
2021-11-20T12:34:56+01:00: Tout horodatage explicite au format ISO-8601. Plusieurs horodatages peuvent être spécifiés.DayAfterCreate: Après la création du compte, le mot de passe du compte sera modifié. Cela est utile lorsque les utilisateurs sont censés configurer Windows Hello pour des options de connexion supplémentaires.Annuel,MensuelouHebdomadaire: L’intervalle le plus court est prioritaire (Hebdomadaire>Mensuel>Annuel). Si aucune autre condition n’est spécifiée, la valeur par défaut est « premier jour du mois » pourMensuelou « lundi » pourHebdomadaire. En outre,Annuelpar défaut à la date de dernière définition du mot de passe + 365 jours. Les sept jours de la semaine peuvent être spécifiés. Ainsi, siWednesdayetHebdomadairesont spécifiés, le mot de passe sera modifié chaque mercredi. SiWednesdayetMensuelsont spécifiés, le mot de passe sera modifié le premier mercredi de chaque mois. En combinantAnnuelavec des jours de la semaine, la date limite sera fixée au dernier jour de la semaine spécifié le plus tard possible juste avant l’échéance des 365 jours.
Exemple
Clé LocalAdminManagement.PrivilegedAccount (pour les paramètres communs, voir paramètres de groupe)
Accès aux mots de passe
Utilisez le RealmJoin Portal pour accéder aux mots de passe.
Qui peut accéder aux comptes LAPS
Ce qu’un utilisateur du portail peut faire avec les comptes LAPS d’un appareil dépend de son rôle RealmJoin :
Admin, Support avancé
Lire le mot de passe
Lire le mot de passe, demander l’accès
Lire le mot de passe, demander l’accès
Auditor
Voir uniquement le compte
Voir uniquement le compte
Voir uniquement le compte
Supporter
Lire le mot de passe
Lire le mot de passe, demander l’accès
—
Les utilisateurs qui possèdent plusieurs rôles obtiennent l’accès combiné de ces rôles.
Rôles personnalisés
Rôles personnalisés peut donner un accès LAPS avec les autorisations suivantes. Chaque autorisation donne exactement l’accès LAPS du rôle intégré correspondant du tableau ci-dessus. Elle ne donne aucune autre autorisation de ce rôle.
CanUseDeviceLapsAsAdvancedSupporter
Support avancé
CanSeeDeviceLapsAsAuditor
Auditor
CanUseDeviceLapsAsSupporter
Supporter
Pour restrictions d’accès, un utilisateur doté de l’une de ces autorisations est considéré comme un utilisateur ayant le rôle correspondant. Par exemple, un utilisateur avec CanUseDeviceLapsAsSupporter doit appartenir à l’un des groupes répertoriés sous Supporter.
Restriction de l’accès
Utilisez le Restrict.LAPS paramètre permettant de limiter quels utilisateurs du portail peuvent accéder aux comptes LAPS de certains appareils, par exemple les appareils de vos dirigeants. Voir Restrictions d’accès pour plus de détails.
Le LAPS La section d’un appareil dans le RealmJoin Portal indique quels rôles LAPS vous détenez et lesquels d’entre eux Restrict.LAPS autorisent l’accès à cet appareil.
Activer le libre-service
Les utilisateurs peuvent accéder aux comptes créés sur leurs propre appareils (ils sont «PrimaryUser») lorsque cela est activé à l’aide de Portail RealmJoin à partir de la version 2022.5.1. Pour l’activer, définissez un paramètre à l’aide de la clé Allow.SelfLAPS. Ce paramètre peut être défini sur des groupes et des utilisateurs. Comme pour tous les paramètres préfixés par Allow.* ils sont combinés par ET entre l’utilisateur et tous ses groupes.
La valeur peut également être un simple booléen vrai/faux. Cela peut être utilisé comme caractère générique et couvre tous les types de comptes actuels et futurs. Veuillez noter que cela n’est recommandé que pour désactiver l’accès (faux).
Un exemple de configuration pourrait ressembler à ceci :
Tous les travailleurs à distance
{ "EmergencyAccount": true }
Les travailleurs à distance peuvent accéder au compte d’urgence de leurs propres appareils.
Tous les développeurs
{ "EmergencyAccount": true, "PrivilegedAccount": true }
Les développeurs peuvent accéder à leur compte d’urgence et à leur compte privilégié — qu’ils soient travailleurs à distance ou non.
Tous les stagiaires
faux
Les stagiaires ne doivent jamais avoir accès à aucun des trois types de comptes et tous les types futurs, même s’ils sont travailleurs à distance ou développeurs
Mis à jour
Ce contenu vous a-t-il été utile ?