Đặt cấu hình LAPS trong Intune bằng Microsoft Graph PowerShell
Có thể bạn là nhà cung cấp dịch vụ và thấy mình triển khai các cấu hình giống nhau nhiều lần theo cách thủ công. Việc này có thể tốn thời gian và dễ xảy ra lỗi, đặc biệt nếu các nhiệm vụ đó quá nhàm chán. Giải pháp là sử dụng tập lệnh PowerShell để triển khai cấu hình cho bạn. Tập lệnh PowerShell được viết tốt có thể xem xét và triển khai cấu hình trong một khoảng thời gian ngắn để triển khai chúng theo cách thủ công bằng cách sử dụng các cổng web tương đương.
Trong bài đăng này, tôi sẽ trình diễn một tập lệnh mà tôi đã viết để tự động triển khai cấu hình Windows LAPS trong Intune với Microsoft Graph PowerShell.
Nếu bạn chưa xem bài đăng chi tiết của tôi về cách định cấu hình Windows LAPS bằng Intune theo cách thủ công, hãy xem bài đăng đó ngay bây giờ vì nó sẽ bổ sung thêm góc nhìn cho nội dung của bài đăng này.
Yêu cầu
Tập lệnh sử dụng Microsoft Graph PowerShell SDK để tương tác với Microsoft Intune. Bạn phải đảm bảo rằng bạn đã cài đặt mô-đun Microsoft.Graph.Authentication.
Hãy xem bài đăng của tôi về Cách cài đặt mô-đun Microsoft Graph PowerShell. Hoặc cho phép tập lệnh tìm và triển khai mô-đun.
Bạn cũng sẽ cần phải đăng nhập bằng tài khoản Quản trị viên toàn cầu để chạy tập lệnh vì bạn sẽ cần phải đồng ý với các quyền bắt buộc của API Đồ thị.
Đặt cấu hình Windows LAPS trong Intune với Microsoft Graph PowerShell
Truy cập tập lệnh triển khai từ GitHub của tôi: Create-LAPS.ps1. Lưu ý: Tập lệnh này sẽ không gán bất kỳ người dùng/thiết bị nào cho các chính sách này mà phải thực hiện thủ công.
Bắt đầu bằng cách tải xuống tập lệnh triển khai và sửa đổi biến $accountname. Điều này sẽ xác định người dùng LAPS sẽ được tạo và sử dụng trong toàn bộ tập lệnh.
Tập lệnh sẽ xử lý các tác vụ theo thứ tự sau:
1. Kiểm tra xem mô-đun Microsoft.Graph.Authentication đã được cài đặt chưa; nếu không, hãy cài đặt nó trong ngữ cảnh người dùng hiện tại.
2. Kết nối với Microsoft Graph và nhắc đồng ý với các phạm vi sau: Policy.ReadWrite.DeviceConfiguration, DevicemanagementConfiguration.ReadWrite.All.
3. Kiểm tra xem Microsoft Entra LAPS có được bật trong đối tượng thuê hay không và bật nó nếu chưa.
4. Tạo chính sách bảo vệ tài khoản LAPS với các cài đặt sau:
Tên chính sách : Windows LAPS
Vị trí sao lưu : Microsoft Entra
Tuổi mật khẩu : 7 ngày
Độ dài mật khẩu : Không được định cấu hình (mặc định 14 ngày)
Tên tài khoản : $tên tài khoản
Mức độ phức tạp : 4
Hành động đăng xác thực : Đặt lại mật khẩu
Độ trễ xác thực đăng : 1 giờ
5. Tạo gói khắc phục để tải lên tập lệnh cài sẵn nhằm tạo tài khoản người dùng LAPS với tên người dùng đã xác định. (Điều này sử dụng các tập lệnh có trong blog của tôi: Cách tạo tài khoản quản trị cục bộ trên thiết bị Windows bằng Intune).
6. Ngắt kết nối khỏi Microsoft Graph
Sau khi chạy, tập lệnh sẽ xử lý các tác vụ trong vài giây và xuất ra như sau:
Kết thúc
Tập lệnh này nhằm mục đích tăng tốc độ triển khai tài nguyên trong Intune, không nhất thiết phải giúp bạn di chuyển sang Windows LAPS. Bạn vẫn phải lập kế hoạch triển khai cẩn thận với khách hàng để bao gồm các mục như vai trò tùy chỉnh, quyền, quyền sở hữu và hỗ trợ, cho dù bạn đang triển khai lần đầu hay di chuyển từ LAPS tại chỗ.