Cómo reparar el error de permiso de descifrado de contraseña de la cuenta LAPS de Windows
Después de implementar Windows LAPS, algunos administradores pueden ver el nombre y la contraseña de la cuenta de administrador local de LAPS, mientras que otros ven ambos campos vacíos. ¿Por qué sucede esto y cuál es la solución? En este artículo, aprenderá cómo solucionar el error de permiso de descifrado de contraseña de la cuenta LAPS de Windows.
No tienes permiso para descifrar la contraseña de la cuenta
Veamos el error que aparece.
Inicie Usuarios y equipos de Active Directory y vaya a las propiedades del equipo para el que desea recuperar la contraseña de LAPS. Haga clic en la pestaña VUELTAS.
Aparece la advertencia:
La contraseña de la cuenta está cifrada pero no tienes permisos para descifrarla.
Los campos de nombre de cuenta de administrador local de LAPS y contraseña de cuenta de administrador local de LAPS están vacíos. Sin embargo, queremos ver ambos campos llenos.
¿Por qué sucede esto y cómo solucionar el mensaje de advertencia La contraseña de la cuenta está cifrada pero no tienes permisos para descifrarla?
Solución para el error de permiso de descifrado de contraseña de la cuenta LAPS de Windows
Si configura Windows LAPS e inicia sesión con una cuenta con permisos de Administrador de dominio, no verá esta advertencia.
La advertencia aparece porque la cuenta de usuario que inició sesión para recuperar el nombre y la contraseña de la cuenta de administrador local de LAPS no es un administrador de dominio. Por ejemplo, los usuarios del equipo de soporte técnico no tienen asignados permisos de Administrador de dominio.
Para solucionar este aviso, tenemos que crear un grupo de seguridad con todos sus miembros. A continuación, configure los permisos de lectura y restablecimiento de LAPS para ese grupo de seguridad. Por último, agregue el grupo a la política de descifradores de contraseñas autorizados de Windows LAPS.
Paso 1. Crea un grupo de seguridad
Cree un grupo de seguridad en Usuarios y equipos de Active Directory.
Agregue los miembros al grupo. Además, agregue los administradores del dominio, ya que este grupo será el único grupo capaz de leer y restablecer la contraseña de LAPS.
Paso 2. Obtenga el SID del grupo de seguridad
Busque el SID del grupo de seguridad con PowerShell.
Get-ADGroup "Windows_LAPS"La salida aparece con el grupo SID.
DistinguishedName : CN=Windows_LAPS,OU=AD,OU=Groups,OU=Company,DC=exoip,DC=local
GroupCategory : Security
GroupScope : Universal
Name : Windows_LAPS
ObjectClass : group
ObjectGUID : 05c3f8a0-4f46-4441-ab41-796538b45a82
SamAccountName : Windows_LAPS
SID : S-1-5-21-1083891243-2317051905-4228426097-3278Copie el valor SID del grupo de seguridad; deberá usarlo en los siguientes pasos.
Paso 3. Establecer permisos de LAPS
Reemplace el SID del grupo de seguridad en ambos comandos y ejecútelo en PowerShell.
El cmdlet Set-LapsADReadPasswordPermission otorgará al grupo permiso para consultar las contraseñas de la Solución de contraseña del administrador local (LAPS) de Windows.
Set-LapsADReadPasswordPermission -Identity "OU=Company,DC=exoip,DC=local" -AllowedPrincipals @("S-1-5-21-1083891243-2317051905-4228426097-3278")El cmdlet Set-LapsADResetPasswordPermission otorgará al grupo permiso para establecer el tiempo de vencimiento de la contraseña de la Solución de contraseña del administrador local (LAPS) de Windows.
Set-LapsADResetPasswordPermission -Identity "OU=Company,DC=exoip,DC=local" -AllowedPrincipals @("S-1-5-21-1083891243-2317051905-4228426097-3278")Paso 4. Configurar la política de descifradores de contraseñas autorizados
Abra Administración de políticas de grupo.
Vaya a Configuración del equipo > Políticas > Plantillas administrativas > Sistema > LAPS.
Agregue el SID del grupo de seguridad al campo Descifrador de contraseña autorizado.
En nuestro ejemplo, es:
S-1-5-21-1083891243-2317051905-4228426097-3278
Paso 5. Verifica tu trabajo
Importante: Cierre sesión y vuelva a iniciar sesión en el servidor de administración o el controlador de dominio para que la configuración de permisos surta efecto.
Inicie Usuarios y equipos de Active Directory. Vaya a las propiedades de la computadora y haga clic en la pestaña LAPS. El error ya no aparece y aparecen los valores de nombre de cuenta y contraseña del administrador local de LAPS.
¡Eso es todo!
Leer más: Configurar la protección con contraseña de Microsoft Entra para el entorno local »
Conclusión
Aprendió cómo corregir el error la contraseña de la cuenta está cifrada pero no tiene permiso para descifrarla. Primero, cree un grupo de seguridad y agregue todos los usuarios que deberían poder ver y restablecer la contraseña de LAPS. Después de eso, configure la política de grupo LAPS Descifrador de contraseña autorizado y agregue el grupo. Recuerde cerrar sesión y volver a iniciarla para que los permisos surtan efecto.
¿Disfrutaste este artículo? También te puede interesar Cómo crear un informe de evaluación de seguridad de Active Directory. No olvides seguirnos y compartir este artículo.