ローカル管理者パスワードの管理

RealmJoin は、API 経由で個別のローカル管理者 (LAPS) アカウントを管理し、パスワードは Azure Key Vault に暗号化して保存されます。

概要

Local Administrator Password Solution (LAPS) は、サポートおよび緊急目的で各 Windows コンピューターに同一の管理者資格情報を使用する問題を解決します。LAPS 単体では、ローカル管理者アカウントに対してランダム生成されたパスワードを作成します。

RealmJoin を使用すると、ローカルサポートまたは大規模なリモートサポート向けに、安全で個別化された管理者アカウントを管理できます。RealmJoin は、顧客の Tenant 内の Azure Key Vault に暗号化されたパスワードを保存し、これらの資格情報へのすべてのアクセスの監査ログを保存します。

RealmJoin の API では、あなたの Tenant 内の指定デバイスに対して「Support Account」（ローカル管理者）を要求できます。参照 RealmJoin の Swagger 説明して、現在どの操作がサポートされているかを詳しく確認してください。LAPS を RealmJoin で使用するには、RealmJoin Windows Client の展開が必要です。

あなたの環境で LAPS が正しくセットアップされ、デバイスに RealmJoin Windows Client が展開済みであることを前提としています。また、必ず認証する適切な http Authorization ヘッダーを使用して RealmJoin の API へのすべてのリクエストを認証してください。

Support Account の要求

エンドポイントを使用して、対象デバイスにローカル Support Account を作成するよう RealmJoin に指示します /laps/request。リクエストは Application insights を使用してキューに入れられ、可能な限り早く RealmJoin Backend と RealmJoin Windows Client によって処理されます。アカウントが作成/使用可能になったとき。

このエンドポイントは、アカウントの作成にどれくらい時間がかかるかの見積もりを返します。アカウントの準備ができたら、こちら資格情報の問い合わせ方法について。

例

次の状況を想定しましょう：

RealmJoin API の資格情報を取得し、次の形式にエンコード済みです dC0xMjM0MTIzNDpteVMzY3JldCE= (Base64)
対象デバイスの Entra deviceId は 9999dab9-f946-40ee-9a17-2500c8d00878。これは Entra オブジェクト ID ではないことに注意してください（別の属性です）！

現在、対象デバイスには Support Account が存在しません。

では、次を作成しましょう要求:

ヘッダー:

Authorization: Basic dC0xMjM0MTIzNDpteVMzY3JldCE=
Content-Type: application/json

リクエスト / URI:

POST https://customer-api.realmjoin.com/laps/request?deviceID=9999dab9-f946-40ee-9a17-2500c8d00878

このエンドポイントはリクエストボディを想定していません。

レスポンス

HTTP ステータス: 200 (OK)

ボディ（JSON 表記）:

{
    "estimatedWaitTime": "00:12:31.8215813"
}

このレスポンスには、RealmJoin Windows Client がローカル Support Account を作成するまでのおおよその時間が含まれます。この例では、少なくとも 12 分待つことを想定してください。クライアントが長い間確認されていない場合は、 null が数値の代わりに見積もりとして返されることがあります。

RealmJoin Windows Client は既定で 30 分ごとにジョブをポーリングします。API が提供する概算は、Windows Client が最後にチェックインした時刻に基づいています。

Support Account の資格情報を取得

エンドポイント /laps/retrieve は、Support Account がすでに作成されているかを確認し、さらにその Support Account の実際の資格情報を取得するために使用されます。

同じものを問い合わせてみましょう deviceId の 9999dab9-f946-40ee-9a17-2500c8d00878 例と同様に上記.

この例では、Support Account（フルネーム: "Local Support Admin Account"）が RealmJoin Windows Client により対象デバイス上に作成されています：

リクエスト

ヘッダー:

Authorization: Basic dC0xMjM0MTIzNDpteVMzY3JldCE=
Content-Type: application/json

リクエスト / URI:

POST https://customer-api.realmjoin.com/laps/retrieve?deviceID=9999dab9-f946-40ee-9a17-2500c8d00878

このエンドポイントはリクエストボディを想定していません。

レスポンス

まだ資格情報が利用可能でない場合、このエンドポイントは HTTP ステータスを返します： 404 （Not Found）と、ボディ内にいくつかの技術的詳細を返します：

ボディ（JSON）

{
    "type": "https://tools.ietf.org/html/rfc7231#section-6.5.4",
    "title": "Not Found",
    "status": 404,
    "traceId": "00-4c56c3cb0f9b394abf934b107b148613-1234b2497e261649-00"
}

資格情報の準備ができるまで、引き続き問い合わせることができます。

資格情報が準備できている場合、このエンドポイントは HTTP ステータスを返します： 200 (OK) と資格情報：

ボディ（JSON）

{
    "password": "Upji1234",
    "username": "ADM-5A2F2169",
    "accountExpirationDate": "2021-12-21T02:14:07+00:00"
}

これらの資格情報を使用して、たとえば AnyDesk Supporter Client 経由で接続することで、ユーザーにサポートを提供できます。

ご覧のとおり、既定では Support Account の有効期間は限定されており、有効期限後にアクセスが必要な場合は再作成する必要があります。これは、日常の運用作業に高権限の資格情報が残り続けないようにするためです。

最終更新 2 か月前

役に立ちましたか？