Gestão da Palavra-passe de Administrador Local

Overview

A Solução de Senha de Administrador Local (LAPS) resolverá o problema de usar credenciais administrativas idênticas em todos os computadores Windows para fins de suporte e emergência. Por si só, o LAPS cria uma senha gerada aleatoriamente para uma conta de administrador local.

Com o RealmJoin, é possível gerenciar contas administrativas seguras e individualizadas, seja para suporte local ou suporte remoto em grande escala. O RealmJoin salva senhas criptografadas no Azure Key Vault dentro do Tenant do cliente e armazena registros de auditoria de cada acesso a essas credenciais.

A API do RealmJoin permite que você solicite uma "Support Account" (administrador local) para um determinado dispositivo no seu Tenant. Veja a descrição Swagger do RealmJoin para ver em detalhe quais operações são atualmente suportadas. Usar o LAPS com o RealmJoin requer a implantação do RealmJoin Windows Client.

Pressupõe-se que você configurou corretamente o LAPS no seu ambiente e implantou o RealmJoin Windows Client nos seus dispositivos. Além disso, certifique-se de autenticar cada solicitação à API do RealmJoin usando um cabeçalho HTTP Authorization apropriado.

Solicitando uma Support Account

Diga ao RealmJoin para criar uma Support Account local no dispositivo de destino usando o endpoint /laps/request. A solicitação é colocada em fila usando o Application insights e será processada pelo RealmJoin Backend e pelo RealmJoin Windows Client o mais rápido possível. Quando a conta for criada/estiver utilizável.

O endpoint retornará uma estimativa de quanto tempo levará para a conta ser criada. Quando a conta estiver pronta, veja aqui sobre como consultar as credenciais.

Exemplo

Vamos assumir a seguinte situação:

• Você tem suas credenciais da API do RealmJoin e as codificou em dC0xMjM0MTIzNDpteVMzY3JldCE= (Base64)

• O deviceId não é 9999dab9-f946-40ee-9a17-2500c8d00878. Atenção: este não é o object id do Entra (atributo diferente)!

No momento, não existe nenhuma Support Account no dispositivo de destino.

Contas locais - antes de solicitar uma Support Account

Vamos construir o solicitação:

Cabeçalhos:

Authorization: Basic dC0xMjM0MTIzNDpteVMzY3JldCE=
Content-Type: application/json

Solicitação / URI:

POST https://customer-api.realmjoin.com/laps/request?deviceID=9999dab9-f946-40ee-9a17-2500c8d00878

Este endpoint não espera um corpo de solicitação.

Resposta

Status HTTP: 200 (OK)

Corpo (em notação JSON):

{
    "estimatedWaitTime": "00:12:31.8215813"
}

A resposta contém o tempo aproximado até que o RealmJoin Windows Client crie a Support Account local. Neste exemplo, espere aguardar pelo menos 12 minutos. Se o cliente não tiver sido visto há muito tempo, você poderá obter null como estimativa em vez de um número.

O RealmJoin Windows Client verificará trabalhos a cada 30 min por padrão. A aproximação oferecida pela API é baseada na última vez que o Windows Client fez check-in.

Obter credenciais da Support Account

O endpoint /laps/retrieve é usado para consultar se uma Support Account já foi criada, bem como para coletar as credenciais reais da Support Account.

Vamos consultar o mesmo deviceId de 9999dab9-f946-40ee-9a17-2500c8d00878 como no exemplo acima.

No nosso exemplo, uma Support Account (Nome completo: "Local Support Admin Account") foi criada no dispositivo de destino pelo RealmJoin Windows Client:

Contas locais - Support Account criada com sucesso

Pedido

Cabeçalhos:

Authorization: Basic dC0xMjM0MTIzNDpteVMzY3JldCE=
Content-Type: application/json

Solicitação / URI:

POST https://customer-api.realmjoin.com/laps/retrieve?deviceID=9999dab9-f946-40ee-9a17-2500c8d00878

Este endpoint não espera um corpo de solicitação.

Resposta

Se as credenciais ainda não estiverem disponíveis, o endpoint retornará Status HTTP: 404 (Not Found) e alguns detalhes técnicos no corpo:

Corpo (JSON)

{
    "type": "https://tools.ietf.org/html/rfc7231#section-6.5.4",
    "title": "Not Found",
    "status": 404,
    "traceId": "00-4c56c3cb0f9b394abf934b107b148613-1234b2497e261649-00"
}

Você pode continuar consultando até que as credenciais estejam prontas.

Se as credenciais estiverem prontas, o endpoint retornará Status HTTP: 200 (OK) e as credenciais:

Corpo (JSON)

{
    "password": "Upji1234",
    "username": "ADM-5A2F2169",
    "accountExpirationDate": "2021-12-21T02:14:07+00:00"
}

Você pode usar essas credenciais para oferecer suporte a um usuário, por exemplo, conectando-se via AnyDesk Supporter Client.

Como você pode ver, por padrão uma Support Account tem vida útil limitada e terá de ser recriada se o acesso for necessário após a data de expiração. Isso serve para garantir que nenhuma credencial de privilégio elevado permaneça das tarefas de operação do dia a dia.