Búsqueda de sitios web

Cómo implementar Microsoft LAPS: guía completa

Microsoft LAPS se puede utilizar para administrar contraseñas de administrador local en los dispositivos unidos a su dominio. LAPS (Solución de contraseña de administrador local), crea una contraseña única y aleatoria para cada dispositivo cliente en su red y almacena la contraseña en Active Directory.

La ventaja de Microsoft LAPS es que sólo los usuarios con los permisos correctos pueden acceder a las contraseñas y a la cuenta de administrador local. Y lo que es más importante, los atacantes no podrán acceder ni infectar otras computadoras cuando una cuenta esté comprometida.

En este artículo, implementaremos y configuraremos Microsoft LAPS. Tenga en cuenta que esta es la versión heredada de Microsoft LAPS. La nueva versión, Windows LAPS, estará disponible en versión preliminar pública alrededor del segundo trimestre de 2023.

Nota

Windows LAPS ahora se lanzó para una vista previa pública. Recomiendo implementar Windows LAPS en lugar de la antigua solución LAPS de Microsoft. Puedes encontrar la guía completa aquí.

¿Qué es Microsoft LAPS?

Los administradores suelen utilizar la misma contraseña para cada dispositivo cuando implementan Windows en una máquina nueva. Esta cuenta de administrador local se puede utilizar como una forma alternativa de iniciar sesión al solucionar problemas en la máquina. Pero tener la misma contraseña en cada dispositivo es un enorme riesgo de seguridad, aquí es donde entra LAPS (Solución de contraseña de administrador local) de Microsoft.

Cuando los atacantes obtienen acceso a una cuenta de administrador local, pueden usar las mismas credenciales para acceder a todos los demás dispositivos de la red. Por lo que se recomienda utilizar una contraseña única para cada dispositivo. Pero necesitamos una forma de administrar esas contraseñas. Con LAPS, la contraseña para cada dispositivo se genera aleatoriamente y se almacena en Active Directory. Sólo los usuarios con el permiso adecuado pueden leer la contraseña de Active Directory y utilizar la cuenta de administrador local.

Para buscar la contraseña de LAPS, podemos usar PowerShell, la interfaz de usuario del cliente LAPS o buscarla en Active Directory.

Requisitos

Hay un par de requisitos a la hora de instalar y utilizar Microsoft LAPS:

  • Solo funciona en dispositivos unidos a un dominio

  • Protege solo una cuenta de administrador local (se recomienda deshabilitar cualquier otra cuenta)

  • Necesitamos ampliar el esquema de Active Directory

  • La configuración se realiza con una política de grupo.

  • El cliente LAPS debe estar instalado en todos los dispositivos cliente

Instalación de LAPS

La instalación de LAPS se realiza en 3 partes. Primero vamos a configurar Active Directory y las políticas en el controlador de dominio. A continuación, instalaremos las herramientas de administración en nuestra propia máquina y el último paso es implementar el cliente LAPS en todos los dispositivos cliente.

Paso 1: Configuración del controlador de dominio

Primero vamos a realizar todos los pasos necesarios en el controlador de dominio. Esto significa que ampliaremos el esquema de Active Directory, crearemos un grupo de seguridad con usuarios a los que se les permitirá leer las contraseñas de LAPS, configuraremos los permisos correctos y configuraremos la Política de grupo.

El primer paso es descargar la solución de contraseña de administrador local. Seleccione y descargue el archivo LAPS.x64.msi y abra la configuración una vez descargado. En el controlador de dominio, sólo necesitamos instalar los siguientes componentes:

  • módulo PowerShell

  • Plantillas del editor de GPO

Ampliar el esquema de Active Directory

Necesitaremos ampliar el esquema de Active Directory para agregar los nuevos campos de atributos para la contraseña de LAPS. Ahora, para ampliar el esquema AD, deberá ser miembro del grupo de seguridad Administradores de esquema que puede encontrar en Active Directory. Si no es miembro de los administradores del esquema, recibirá el error el usuario no tiene derechos de acceso suficientes.

  1. Abra PowerShell en el controlador de dominio

  2. Escriba los siguientes comandos para ampliar el esquema AD:

Import-Module AdmPwd.ps
Update-AdmPwdADSchema

Establecer permisos en Active Directory

Con la ventana de PowerShell aún abierta (de lo contrario, importe AdmPwd.ps nuevamente), configuraremos los permisos necesarios para LAPS. Necesitaremos otorgar acceso de escritura a la cuenta SELF integrada en la computadora para que pueda actualizar la contraseña en Active Directory. Y necesitaremos otorgar permisos de lectura (y tal vez de escritura) a los administradores para leer la contraseña de LAPS almacenada.

Para la computadora, los atacaremos usando la unidad organizativa. La configuración también se aplicará a todas las unidades organizativas anidadas. Puede repetir los pasos a continuación para cualquier unidad organizativa con computadoras que tenga. En PowerShell, escriba el siguiente comando para configurar los permisos en la unidad organizativa Computadoras:

Nota

Para apuntar a la unidad organizativa, puede utilizar el nombre de la unidad organizativa (si es único) o el nombre distinguido.
Set-AdmPwdComputerSelfPermission -OrgUnit Computers

Si el nombre de la unidad organizativa no es único, se muestran todas las unidades organizativas coincidentes y se generará un error si se encuentra más de un objeto. Uso del nombre distinguido para apuntar a la unidad organizativa correcta:

Set-AdmPwdComputerSelfPermission -OrgUnit "OU=Computers,OU=Amsterdam,OU=Sites,DC=lazyadmin,DC=nl"

El siguiente paso es crear un nuevo grupo de seguridad que contenga los usuarios que pueden leer la contraseña de LAPS. Me gusta crear dos grupos, uno con permisos de lectura/escritura (estos usuarios pueden forzar un restablecimiento de la contraseña de LAPS) y un grupo con solo acceso de lectura. Puede crear los grupos en Active Directory o usar PowerShell:

# AD Security Group for LAPS read/write access
New-ADGroup -name 'LAPS Admins' -GroupCategory Security -GroupScope Global

# AD Security Group for LAPS readonly  access
New-ADGroup -name 'LAPS ReadOnly' -GroupCategory Security -GroupScope Global

Ahora podemos otorgar a los nuevos grupos de seguridad los permisos adecuados. Primero, les daremos a ambos grupos permiso de lectura para la contraseña de LAPS (el atributo ms-Mcs-AdmPwd):

Set-AdmPwdReadPasswordPermission -OrgUnit Computers -AllowedPrincipals 'LAPS Admins','LAPS ReadOnly'

Los administradores también deberían poder restablecer la contraseña, por lo que le daremos al grupo de administradores de LAPS también permiso para restablecer:

Set-AdmPwdResetPasswordPermission -OrgUnit Computers -AllowedPrincipals 'LAPS Admins'

Configurar el GPO de LAPS

Con el permiso todo ordenado, configuramos el GPO (objeto de política de grupo) de LAPS. Primero, necesitaremos copiar el archivo LAPS Admx al almacén central de Active Directory.

  1. En el controlador de dominio, navegue hasta C:\Windows\PolicyDefinitions

  2. Copie AdmPwd.admx en \contoso.local\SysVo

Haga lo mismo con el archivo Adml que puede encontrar en la carpeta de idioma:

  1. En el controlador de dominio, navegue hasta C:\Windows\PolicyDefinitions n-US

  2. Copie AdmPwd.adml en \contoso.local\SysVo

Ahora podemos crear un nuevo GPO para LAPS:

  1. Abra la Consola de administración de políticas de grupo

  2. Cree una nueva política de grupo en su unidad organizativa Computadoras

  3. Haga clic derecho en la nueva política y seleccione Editar.

  4. Navegue a: Configuración del equipo > Políticas > Plantillas administrativas > LAPS

  1. Abra la Configuración de contraseña

  2. Habilitar la configuración

  3. Configurar la complejidad de la contraseña (la configuración predeterminada en la mayoría de los casos está bien)

  4. Haga clic en Aceptar cuando haya terminado.

  1. A continuación, abra la configuración Nombre de la cuenta de administrador a administrar

  2. Habilitar la configuración

  3. En Nombre de cuenta de administrador ingrese LAPSAdmin

Nota

LAPS solo puede proteger una cuenta de administrador local. El uso de un nombre de cuenta de administrador local distinto nos permite verificar fácilmente si la computadora está protegida con LAPS. Además, la cuenta de administrador integrada suele estar deshabilitada de forma predeterminada.

  1. Abra la configuración Habilitar la administración de contraseñas de administrador local

  2. Haga clic en Activar y cierre la ventana.

Configuración de GPO opcional

Las siguientes configuraciones son opcionales. Si ya tiene una cuenta de administrador local, nombre lazyadmin, por ejemplo. Entonces probablemente quieras desactivar esta cuenta al implementar LAPS. Podemos hacer esto en la misma política que acabamos de crear:

  1. Editar la política CPO_LAPS

  2. Navegue a: Configuración del equipo > Preferencias > Configuración del panel de control > Usuarios y grupos locales

  3. Haga clic derecho en el área blanca y elija Nuevo > Usuario local

  4. Establezca Acción en Actualizar

  5. Ingrese el nombre de la cuenta de administrador local actual

  6. Desmarcar El usuario debe cambiar la contraseña en el próximo inicio de sesión

  7. Marque La cuenta está deshabilitada

  8. Haga clic en Aceptar

Ahora hemos configurado con éxito Active Directory y la política de grupo para Microsoft LAPS. Asegúrese de aplicar la política recién creada a todas las unidades organizativas que contengan computadoras en las que desee utilizar LAPS.

Paso 2: instalar LAPS Cliente en las computadoras

Necesitaremos instalar el componente LAPS Client en todas las computadoras con Windows. Ahora, la mejor manera de instalar software en varios clientes es utilizar una herramienta de implementación como PDQ Deploy o Action1.

En PDQ Deploy puede crear un nuevo paquete y usar el archivo LAPS.x64.msi que descargamos anteriormente. Asegúrese de agregar el parámetro CUSTOMADMINNAME=LAPSAdmin en su paquete. También es una buena idea agregar un paso de PowerShell o Comando con el comando gpupdate.

Nota

El parámetro CUSTOMADMINNAME creará una cuenta de administrador local en la computadora con el nombre de usuario LAPSAdmin.

Si no tiene una herramienta de implementación que pueda usar, también podría usar una política de grupo para implementar el cliente. El único problema es que no puede agregar fácilmente el parámetro requerido CUSTOMADMINNAME al archivo MSI. Necesitará modificar el archivo MSI utilizando una herramienta llamada ORCA, pero eso está fuera del alcance de este artículo.

La implementación a través de GPO también es posible cuando puedes reutilizar la cuenta de administrador local existente:

Primero, copie el archivo LAPS.x64.msi a su carpeta Netlogon (\contoso.local etlogon)

  1. Abra la consola de administración de políticas de grupo

  2. Cree un nuevo GPO en su unidad organizativa Computadoras (la misma ubicación que el GPO de LAPS) y asígnele el nombre CPO_LAPS_Install.

  3. Editar la nueva política

  4. Navegue a: Configuración del equipo > Políticas > Configuración de software > Instalación de software

  5. Haga clic derecho en el espacio en blanco y seleccione Nuevo > Paquete…

  6. Navegue hasta su carpeta Netlogon y seleccione el archivo LAPS.x64.msi.

  7. Seleccione Asignado

Otra opción es instalar el MSI manualmente o utilizar un script de PowerShell:

if (-not(Get-Package -name "local administrator password solution" -ErrorAction Ignore)) {
    Start-Process msiexec.exe -Wait -ArgumentList "/i '\\contoso.local\netlogon\LAPS.x64.msi /qn /norestart /l*v 'c:\temp\laps-install.log' CUSTOMADMINNAME=LAPSAdmin"
}

Puede verificar fácilmente si el cliente LAPS se instaló correctamente verificando si la cuenta de administrador de LAPS está creada en el cliente:

  • Presione la tecla de Windows + R

  • Escriba lusrmgr.msc para ver las cuentas de los usuarios locales.

  • LAPSAdmin debe aparecer en la lista

Paso 3: instalación de la interfaz de usuario de administración de LAPS

Para buscar la contraseña de LAPS de un cliente, necesitaremos utilizar la interfaz de usuario del cliente LAPS o el módulo PowerShell. Puede instalar las piezas de gestión en tantas máquinas como desee. Solo para ver o restablecer la contraseña, el usuario deberá ser miembro de uno de los grupos de seguridad que creamos anteriormente (LAPS Admin o LAPS ReadOnly).

Descargue nuevamente la solución de contraseña de administrador local de Microsoft. Seleccione y descargue el archivo LAPS.x64.msi y abra la configuración una vez descargado. Vamos a instalar la UI del cliente Fat y el módulo PowerShell:

Recuperación de la contraseña de Microsoft LAPS

Una vez completada la instalación, encontrará el cliente Microsoft LAPS en el menú de inicio. Si abre la UI de LAPS, puede ingresar el nombre de la computadora y hacer clic en Buscar para buscar la contraseña de LAPS:

Si ha restablecido los permisos, también puede restablecer la contraseña haciendo clic en Establecer. Esto restablecerá la contraseña inmediatamente. Otra opción es establecer la fecha de vencimiento de la contraseña de LAPS.

Obtener contraseña de LAPS con PowerShell

También podemos usar PowerShell para buscar y restablecer la contraseña de LAPS. Asegúrese de haber instalado el módulo PowerShell desde la configuración de la solución de contraseña del administrador local. Podemos usar el cmdlet Get-AdmPwdPassword para obtener la contraseña de la computadora específica:

Get-AdmPwdPassword -ComputerName LA-WIN11-LAB03

# Or to return only the password:
Get-AdmPwdPassword -ComputerName LA-WIN11-LAB03 | Select Password

# Result
Password
--------
FT7dSRPX12/AgK

Como puede ver en la captura de pantalla siguiente, el cmdlet no solo devuelve la contraseña, sino también el nombre de la computadora, el nombre distinguido y la marca de tiempo de vencimiento. Con una simple selección podemos asegurarnos de que solo se devuelva la contraseña.

También podemos copiar la contraseña automáticamente a nuestro portapapeles colocando el cmdlet Set-Clipboard detrás de ella. Para eso necesitaremos expandir primero la propiedad de la contraseña, de modo que solo se copie el valor, en lugar del objeto completo:

Get-AdmPwdPassword -ComputerName LA-WIN11-LAB03 | Select -ExpandProperty Password | Set-Clipboard

Uso de Active Directory

También podemos buscar la contraseña de Microsoft LAPS en Active Directory. La contraseña se almacena en el atributo ms-MCS-AdmPwd. Entonces, para recuperarlo necesitaremos abrir el editor de atributos del objeto de computadora:

  1. Abra Usuarios y equipos de Active Directory

  2. Navegue hasta la unidad organizativa de computadoras

  3. Haga doble clic en el objeto de computadora

  4. Abra la pestaña Editor de atributos

  5. Desplácese hacia abajo hasta el atributo ms-MCS-Adm-Pwd para ver la contraseña.

Conclusión

Microsoft LAPS es una gran solución para administrar su contraseña de administración local. Tenga en cuenta que en la segunda mitad de 2023 se lanzará una nueva versión de LAPS, denominada Windows LAPS. Esta versión también puede almacenar la contraseña en Azure Active Directory, entre otros beneficios.

Espero que este artículo te haya ayudado a configurar la solución de contraseña de administrador local. Si tiene alguna pregunta, simplemente deje un comentario a continuación.

Artículos relacionados