Kaip įdiegti „Microsoft“ vietinio administratoriaus slaptažodžio sprendimą (LAPS)

Vietinio administratoriaus slaptažodžių tvarkymas „Windows“ domene gali būti saugumo košmaras. Visur naudoti tą patį slaptažodį patogu, bet pavojinga, o rankiniu būdu sekti unikalius slaptažodžius greitai tampa nebevaldoma. „Microsoft“ vietinio administratoriaus slaptažodžio sprendimas (LAPS) siūlo elegantišką pataisą automatiškai generuodamas, pasukdamas ir saugiai išsaugodamas atsitiktinius kiekvieno kompiuterio vietinio administratoriaus paskyros slaptažodžius.

LAPS integruojamas su Active Directory, kad būtų supaprastintas diegimas ir prieigos valdymas. Tai užtikrina, kad net jei vienas įrenginys yra pažeistas, užpuolikas negalės naudoti vietinio administratoriaus slaptažodžio, kad pasiektų kitus kompiuterius. Panagrinėkime, kaip LAPS veikia ir kaip jį nustatyti savo aplinkoje.

Kas yra Microsoft LAPS?

LAPS yra nemokamas Microsoft įrankis, kuris automatizuoja vietinio administratoriaus slaptažodžių valdymą prie domeno prijungtiems Windows kompiuteriams. Tarp pagrindinių jo savybių yra:

• Automatinis unikalių, sudėtingų slaptažodžių generavimas kiekvienam kompiuteriui.
• Saugus slaptažodžių saugojimas Active Directory, apsaugotas prieigos kontrolės sąrašais (ACL).
• Konfigūruojamas slaptažodžio sudėtingumas, ilgis ir sukimosi grafikas.
• Integracija su esamais Active Directory valdymo įrankiais.
• Galimybė priverstinai nedelsiant nustatyti slaptažodį iš naujo, kai reikia.

Panaikindama bendrinamus vietinio administratoriaus slaptažodžius, LAPS žymiai sumažina šoninio judėjimo atakų jūsų tinkle riziką.

LAPS nustatymas jūsų aplinkoje

LAPS įgyvendinimas apima kelis veiksmus. Čia yra išsamus vadovas, kaip pradėti:

1 veiksmas:Atsisiųskite LAPS iš „Microsoft“ atsisiuntimo centro. Rasite atskirus 32 bitų (x86) ir 64 bitų (x64) sistemų diegimo programas, taip pat dokumentus, įskaitant operacijų vadovą ir technines specifikacijas.

Daugiau skaitymo:Kaip ištaisyti „Windows LAPS“ paskyros slaptažodžio iššifravimo leidimo klaidą

2 veiksmas:Paruoškite „Active Directory“ aplinką. Turėsite išplėsti AD schemą, kad įtrauktumėte naujus LAPS slaptažodžių ir galiojimo laiko saugojimo atributus. Tam reikalingos domeno administratoriaus arba įmonės administratoriaus teisės.

3 veiksmas:Įdiekite LAPS klientą valdymo darbo vietoje. Šis kompiuteris bus naudojamas LAPS strategijoms konfigūruoti ir prireikus nuskaityti slaptažodžius.

4 veiksmas:Konfigūruokite LAPS grupės strategijos nustatymus. Sukurkite naują grupės strategijos objektą (GPO) arba pakeiskite esamą, kad įtrauktumėte LAPS nustatymus. Pagrindiniai nustatymai apima:

• Įgalinti vietinio administratoriaus slaptažodžių tvarkymą
• Slaptažodžio sudėtingumas
• Slaptažodžio ilgis
• Slaptažodžio amžius (kaip dažnai jis turėtų būti pasuktas)

5 veiksmas:Įdiekite LAPS klientą prie domeno prijungtuose kompiuteriuose. Galite naudoti grupės strategiją, sistemos centro konfigūracijos tvarkyklę arba pageidaujamą programinės įrangos diegimo metodą, kad įdiegtumėte LAPS CSE (kliento pusės plėtinį) visuose valdomuose įrenginiuose.

6 veiksmas:„Active Directory“ nustatykite prieigos valdiklius. Nustatykite, kurie vartotojai ar grupės turėtų turėti leidimą skaityti arba iš naujo nustatyti LAPS valdomus slaptažodžius. Paprastai tai apima pagalbos tarnybos darbuotojus ir sistemos administratorius.

7 veiksmas:Išbandykite LAPS diegimą nedidelėje kompiuterių grupėje, prieš pradėdami jį plačiai naudoti. Patikrinkite, ar slaptažodžiai generuojami, saugomi ir pasukami teisingai.

LAPS naudojimas kasdienėse operacijose

Kai LAPS yra įdiegtas, štai kaip jis paprastai veikia praktiškai:

Slaptažodžių gavimas:Įgalioti vartotojai gali nuskaityti dabartinį konkretaus kompiuterio vietinio administratoriaus slaptažodį naudodami LAPS UI įrankį, PowerShell cmdlet arba tiesiogiai pateikdami užklausą Active Directory. Pavyzdžiui, naudojant PowerShell:

Get-AdmPwdPassword -ComputerName "PC001"

Priverstinis slaptažodžio nustatymas iš naujo:Jei įtariate, kad slaptažodis buvo pažeistas, galite priverstinai nedelsiant nustatyti iš naujo:

Reset-AdmPwdPassword -ComputerName "PC001"

Auditas:LAPS integruojamas su esamu Active Directory auditu, leidžiančiu stebėti, kas pasiekė arba iš naujo nustatė slaptažodžius.

Geriausia LAPS diegimo praktika

Norėdami išnaudoti visas LAPS galimybes, apsvarstykite šią geriausią praktiką:

• Naudokite grupės politiką, kad LAPS nustatymai būtų nuosekliai pritaikyti visoje organizacijoje.
• Suteikdami prieigą prie LAPS slaptažodžių, įgyvendinti mažiausios privilegijos principą.
• Reguliariai tikrinkite, kas turi prieigą skaityti ir iš naujo nustatyti LAPS slaptažodžius.
• Apsvarstykite galimybę naudoti LAPS kartu su kitomis saugos priemonėmis, pvz., privilegijuotomis prieigos darbo stotimis (PAW) atliekant jautrias administracines užduotis.
• Atnaujinkite LAPS klientą ir valdymo įrankius, kad galėtumėte pasinaudoti naujausiais saugos patobulinimais.

„Microsoft“ vietinio administratoriaus slaptažodžio sprendimas siūlo tvirtą, lengvai įgyvendinamą atsakymą į nuolatinę vietinio administratoriaus slaptažodžio valdymo problemą. Automatizuodamas slaptažodžių kaitaliojimą ir išnaudodamas esamą Active Directory infrastruktūrą, LAPS sustiprina jūsų organizacijos saugos poziciją, nesukeldama didelio sudėtingumo. Išbandykite – būsimas „aš“ (ir jūsų apsaugos komanda) jums padėkos.