Gestion des mots de passe administrateur local

RealmJoin gère des comptes administrateur local (LAPS) individualisés via API, avec des mots de passe stockés chiffrés dans Azure Key Vault.

Aperçu

La solution Local Administrator Password Solution (LAPS) résoudra le problème de l’utilisation de identifiants administratifs identiques sur chaque ordinateur Windows à des fins d’assistance et d’urgence. À elle seule, LAPS crée un mot de passe généré aléatoirement pour un compte administrateur local.

Avec RealmJoin, il est possible de gérer des comptes administratifs sécurisés et individualisés, que ce soit pour une assistance locale ou une assistance à distance à grande échelle. RealmJoin enregistre les mots de passe chiffrés dans Azure Key Vault au sein du Tenant du client et conserve les journaux d’audit de chaque accès à ces identifiants.

L’API de RealmJoin vous permet de demander un "Support Account" (administrateur local) pour un appareil donné dans votre Tenant. Voir la référence de l’API de RealmJoin pour voir en détail quelles opérations sont actuellement prises en charge. L’utilisation de LAPS avec RealmJoin nécessite le déploiement du RealmJoin Windows Client.

On suppose que vous avez correctement configuré LAPS dans votre environnement et déployé le RealmJoin Windows Client sur vos appareils. De plus, assurez-vous d’ authentifier chaque requête envoyée à l’API de RealmJoin à l’aide d’un en-tête http Authorization approprié.

Demander un Support Account

Indiquez à RealmJoin de créer un Support Account local sur l’appareil cible à l’aide du point de terminaison /laps/request. La requête est mise en file d’attente à l’aide d’Application insights et sera traitée par RealmJoin Backend et RealmJoin Windows Client dès que possible. Lorsque le compte est créé/utilisable.

Le point de terminaison renverra une estimation du temps nécessaire à la création du compte. Lorsque le compte est prêt, voir ici pour savoir comment interroger les identifiants.

Exemple

Supposons la situation suivante :

• Vous avez vos identifiants de l’API de RealmJoin et les avez encodés en dC0xMjM0MTIzNDpteVMzY3JldCE= (Base64)
• Le deviceId Entra de l’appareil cible deviceId est 9999dab9-f946-40ee-9a17-2500c8d00878. Attention, il ne s’agit pas de l’ID d’objet Entra (attribut différent) !

Aucun Support Account n’existe actuellement sur l’appareil cible.

Comptes locaux - avant de demander un Support Account

Construisons le demande:

En-têtes :

Authorization: Basic dC0xMjM0MTIzNDpteVMzY3JldCE=
Content-Type: application/json

Requête / URI :

POST https://customer-api.realmjoin.com/laps/request?deviceID=9999dab9-f946-40ee-9a17-2500c8d00878

Ce point de terminaison n’attend pas de corps de requête.

Réponse

Statut Http : 200 (OK)

Corps (en notation JSON) :

{
    "estimatedWaitTime": "00:12:31.8215813"
}

La réponse contient le temps approximatif avant que le RealmJoin Windows Client ne crée le Support Account local. Dans cet exemple, prévoyez d’attendre au moins 12 minutes. Si le client n’a pas été vu depuis longtemps, vous pourriez obtenir null comme estimation au lieu d’un nombre.

Par défaut, le RealmJoin Windows Client interroge les tâches toutes les 30 min. L’approximation fournie par l’API est basée sur la dernière fois où le Windows Client s’est signalé.

Récupérer les identifiants du Support Account

Le point de terminaison /laps/retrieve est utilisé pour vérifier si un Support Account a déjà été créé ainsi que pour récupérer les identifiants réels du Support Account.

Interrogeons le même deviceId de 9999dab9-f946-40ee-9a17-2500c8d00878 que dans l’exemple ci-dessus.

Dans notre exemple, un Support Account (Nom complet : "Local Support Admin Account") a été créé sur l’appareil cible par le RealmJoin Windows Client :

Comptes locaux - le Support Account a été créé avec succès

Demande

En-têtes :

Authorization: Basic dC0xMjM0MTIzNDpteVMzY3JldCE=
Content-Type: application/json

Requête / URI :

POST https://customer-api.realmjoin.com/laps/retrieve?deviceID=9999dab9-f946-40ee-9a17-2500c8d00878

Ce point de terminaison n’attend pas de corps de requête.

Réponse

Si les identifiants ne sont pas encore disponibles, le point de terminaison renverra le statut Http : 404 (Not Found) et quelques détails techniques dans le corps :

Corps (JSON)

{
    "type": "https://tools.ietf.org/html/rfc7231#section-6.5.4",
    "title": "Not Found",
    "status": 404,
    "traceId": "00-4c56c3cb0f9b394abf934b107b148613-1234b2497e261649-00"
}

Vous pouvez continuer à interroger jusqu’à ce que les identifiants soient prêts.

Si les identifiants sont prêts, le point de terminaison renverra le statut Http : 200 (OK) et les identifiants :

Corps (JSON)

{
    "password": "Upji1234",
    "username": "ADM-5A2F2169",
    "accountExpirationDate": "2021-12-21T02:14:07+00:00"
}

Vous pouvez utiliser ces identifiants pour fournir une assistance à un utilisateur, par exemple en vous connectant via AnyDesk Supporter Client.

Comme vous pouvez le voir, par défaut, un Support Account a une durée de vie limitée et devra être recréé si un accès est nécessaire après la date d’expiration. Cela permet de s’assurer qu’aucun identifiant à privilèges élevés ne persiste d’une tâche d’exploitation quotidienne à l’autre.