Cách thiết lập Windows LAPS từng bước

Windows LAPS là một giải pháp quản lý mật khẩu quản trị viên cục bộ mạnh mẽ và hiện dễ cài đặt, mang lại những lợi ích bảo mật tuyệt vời. Windows LAPS lưu trữ mật khẩu quản trị viên cục bộ cho cụ thể hoặc tất cả các thiết bị được liên kết với thư mục của bạn trong thư mục của bạn (cho dù đó là cục bộ hay Azure Active Directory), những mật khẩu này sẽ có thời gian hết hạn và xoay vòng nghiêm ngặt, điều này sẽ giúp ngăn chặn việc tiếp quản và di chuyển ngang trong quá trình các cuộc tấn công. Điều này có thể tăng cường đáng kể tính bảo mật trong các tình huống như khi làm việc với các nhân viên trợ giúp từ xa.

Windows LAPS được tích hợp trực tiếp vào các hệ điều hành mới nhất, giúp quản trị viên triển khai trên toàn tổ chức một cách nhanh chóng và dễ dàng.

Trong hướng dẫn này, tôi sẽ chỉ cho bạn cách triển khai Windows LAPS cho các thiết bị đã tham gia Active Directory của bạn theo từng bước.

Windows LAPS là gì?

Windows LAPS là sự kế thừa cho giải pháp cũ hơn của Microsoft, Microsoft LAPS. LAPS là viết tắt của giải pháp Local Aquản trị viên Pmật khẩu S và đó chính xác là những gì nó thực hiện. Windows LAPS là một tính năng mới của Windows cho phép bạn quản lý mật khẩu tài khoản quản trị viên cục bộ từ Active Directory hoặc Azure Active Directory cục bộ.

LAPS có thể được sử dụng để sao lưu và quản lý mật khẩu tài khoản quản trị viên cục bộ trong một số trường hợp khác nhau:

• Sao lưu mật khẩu quản trị cục bộ cho các thiết bị được nối vào Active Directory cục bộ, vào Active Directory cục bộ.
• Sao lưu mật khẩu quản trị viên cục bộ cho các thiết bị đã tham gia Azure Active Directory, vào Azure Active Directory.
• Sao lưu mật khẩu DSRM cho Bộ điều khiển miền Windows Server vào Active Directory cục bộ.

Cần phải biết!

Cài đặt triển khai Windows LAPS của bạn phụ thuộc vào cách quản lý thiết bị của bạn! Nếu thiết bị của bạn chỉ được kết nối với Active Directory cục bộ thì bạn chỉ sao lưu mật khẩu vào Active Directory cục bộ.

Tương tự, nếu thiết bị của bạn chỉ được kết nối với Azure Active Directory thì bạn chỉ có thể sao lưu mật khẩu của mình vào Azure Active Directory.

Tuy nhiên, nếu thiết bị của bạn được kết hợp với Active Directory cục bộ và Azure Active Directory thì chúng có thể được sao lưu vào một trong hai vị trí chứ không phải cả hai.

Yêu cầu đối với Windows LAPS

Để sử dụng phiên bản Windows LAPS mới nhất được tích hợp trực tiếp vào hệ điều hành của bạn, bạn phải chạy bất kỳ hệ điều hành nào sau đây:

Hệ điều hành máy khách

• Windows 11 22H2 - Cập nhật ngày 11 tháng 4 năm 2023
  Windows 11 21H2 - Cập nhật ngày 11 tháng 4 năm 2023
  Cập nhật Windows 10 - ngày 11 tháng 4 năm 2023

Hệ điều hành Windows Server

• Windows Server 2022 - Cập nhật ngày 11 tháng 4 năm 2023
• Windows Server 2019 - Cập nhật ngày 11 tháng 4 năm 2023

Không có yêu cầu cấp phép bổ sung nào cần thiết để sử dụng Windows LAPS.

Cách thiết lập Windows LAPS từng bước

1. Bắt đầu bằng cách đăng nhập vào bộ điều khiển miền của bạn với tư cách quản trị viên miền và mở PowerShell.

2. Khi PowerShell được mở, hãy chạy lệnh sau để cập nhật lược đồ Active Directory.

Update-LapsAdSchema

Bạn có thể nhập Y để xem xét và phê duyệt từng bản cập nhật lược đồ theo cách thủ công hoặc nhập A để tự động phê duyệt tất cả các bản cập nhật.

Các thuộc tính sau sẽ được thêm vào lược đồ khi bạn chạy lệnh cập nhật:

• msLAPS-Mật khẩuThời gian hết hạn
• msLAPS-Mật khẩu
• msLAPS-Mật khẩu được mã hóa
• lịch sử mật khẩu được mã hóa msLAPS
• msLAPS-Được mã hóaDSRMMật khẩu
• msLAPS-Được mã hóaDSRMLịch sử mật khẩu

Bạn có thể xác minh rằng tất cả các bản cập nhật đều thành công bằng cách chạy lại lệnh bằng khóa chuyển -verbose.

Update-LapsAdSchema -verbose

Bạn có thể thấy từ kết quả đầu ra rằng các thuộc tính bắt buộc hiện đã có sẵn.

3. Tiếp theo, chúng ta cần đảm bảo rằng thiết bị được quản lý mà chúng ta muốn định cấu hình LAPS có quyền chính xác để cập nhật mật khẩu của chính nó bằng cách cập nhật các thuộc tính msLAPS- có liên quan trên đối tượng máy tính. Tại thời điểm này, các thuộc tính sẽ hiển thị dưới dạng trống:

Chạy lệnh sau đối với tên duy nhất của OU cấp cao nhất chứa OU máy tính của bạn. Ví dụ: tôi sẽ chạy ứng dụng này trên ourcloudnetwork OU của tôi có chứa một OU phụ có tên là Máy tính, được chạy và các quyền trên OU cấp cao nhất sẽ được kế thừa.

Set-LapsADComputerSelfPermission -Identity ourcloudnetwork

Bạn có thể thấy rằng nếu tôi cố chạy lệnh này với tên OU không phải là duy nhất thì lỗi sau sẽ xảy ra:

Set-LapsADComputerSelfPermission : Đã tìm thấy nhiều hơn một kết quả 2 cho OU 'máy tính' trong AD

3. Bây giờ bạn cần đảm bảo những người dùng cần thiết có thể đọc được mật khẩu LAPS trong Active Directory. Sử dụng lệnh ghép ngắn Set-LapsADReadPasswordPermission để cấp cho các nhóm cụ thể quyền đọc mật khẩu LAPS cho OU mong muốn.

Ví dụ: bên dưới, tôi cấp cho nhóm bảo mật Quản trị viên máy trạm quyền đọc mật khẩu LAPS cho các máy tính trong OU ourcloudnetwork.

Set-LapsADReadPasswordPermission -Identity ourcloudnetwork `
-AllowedPrincipals "ourcloudnetwork\Workstation Admins"

Có một số lệnh tương tự mà bạn cũng có thể sử dụng để ủy quyền theo cách tương tự, đó là:

• Set-LapsADPasswordExpirationTime - Cấp cho một nhóm người dùng cụ thể quyền cập nhật thời gian hết hạn mật khẩu LAPS trong AD
• Set-LapsADResetPasswordPermission - Cấp cho một nhóm người dùng cụ thể quyền đặt lại mật khẩu LAPS theo cách thủ công trong AD.

Bạn có thể sử dụng lệnh Find-LapsADExetendRights để kiểm tra các quyền hiện tại trên một OU cụ thể.

4. Bây giờ chúng ta có thể triển khai cấu hình LAPS cho các thiết bị mục tiêu của mình thông qua chính sách nhóm cục bộ. Bắt đầu bằng cách tạo một GPO mới và liên kết nó với OU của máy tính mục tiêu.

5. Chỉnh sửa chính sách và tìm Cài đặt LAPS có tại Cấu hình máy tính > AMẫu quản trị > Hệ thống > LAPS. Ở mức ở mức tối thiểu, bạn cần kích hoạt Định cấu hình thư mục sao lưu mật khẩu để sao lưu mật khẩu vào Active Directory .

Bạn có thể thấy có một số tùy chọn, nhưng nếu không bật cài đặt này, bạn sẽ vô hiệu hóa chính sách LAPS của mình một cách hiệu quả.

6. Bạn cần quyết định tài khoản cục bộ sẽ được quản lý bằng LAPS. LAPS sẽ không tạo tài khoản quản trị viên cục bộ cho bạn, bạn cần đảm bảo tài khoản đó có trên các thiết bị được quản lý để LAPS cập nhật mật khẩu của mình, cho dù đó là tài khoản Quản trị viên tích hợp (không được khuyến nghị) hay tài khoản người dùng tùy chỉnh (được khuyến nghị) .

Có nhiều cách để tạo tài khoản người dùng cục bộ mới và thêm nó vào nhóm Quản trị viên cục bộ, mặc dù tôi sẽ không trình bày chi tiết cụ thể trong bài đăng này, một số tùy chọn bao gồm:

• Tùy chọn chính sách nhóm
• Tập lệnh đăng nhập mạng
• Tập lệnh chính sách nhóm
• Trong giai điệu
• thủ công
• Tập lệnh PowerShell từ xa
• Công cụ RMM của bên thứ 3

7. Khi bạn đã quyết định sử dụng tài khoản nào, hãy định cấu hình cài đặt Tên tài khoản quản trị viên để quản lý.

Hai cài đặt cuối cùng để định cấu hình là:

• Cài đặt mật khẩu
• Không cho phép thời gian hết hạn mật khẩu lâu hơn chính sách yêu cầu

Cài đặt Cài đặt mật khẩu cho phép bạn xác định độ phức tạp của mật khẩu, tuổi mật khẩu và độ dài mật khẩu. Cài đặt chính sách Không cho phép mật khẩu hết hạn lâu hơn chính sách yêu cầu đảm bảo rằng nếu quản trị viên cố gắng đặt mật khẩu hết hạn lâu hơn chính sách xác định thì mật khẩu đó sẽ không bị ảnh hưởng. Ví dụ: nếu tôi đặt cài đặt mật khẩu như bên dưới, thì nếu người dùng cố gắng đặt thời hạn hết hạn mật khẩu là 5 ngày, nó sẽ mặc định là 1 ngày.

8. Bây giờ bạn đã định cấu hình LAPS! Khởi động lại thiết bị của người dùng cuối, đảm bảo thiết bị nằm trên mạng miền và thiết bị sẽ có hiệu lực.

Cách lấy lại mật khẩu LAPS bằng GUI

Để lấy lại mật khẩu Windows LAPS cho máy tính, bạn có thể thực hiện trực tiếp thông qua Người dùng và Máy tính Active Directory.

1. Mở ADUC và nhấp đúp vào tài khoản máy tính mà bạn muốn lấy lại mật khẩu.

2. Chọn tab LAPS, sau đó chọn Hiển thị mật khẩu.

Cách lấy lại mật khẩu LAPS bằng PowerShell

Một giải pháp đơn giản hơn đối với một số người có thể là sử dụng PowerShell để lấy lại mật khẩu LAPS của máy tính.

1. Bắt đầu bằng cách mở PowerShell.

2. Chạy lệnh sau và chỉ định tên màn hình mục tiêu của bạn.

Get-LapsADPAssword %targetDesktop% -AsPlainText

Đầu ra của bạn sẽ trông giống như dưới đây: