Búsqueda de sitios web

Configure Windows LAPS (Solución de contraseñas de administrador local) en AD

Windows LAPS (Local Administrator Password Ssolution) le permite administrar de manera centralizada las contraseñas para los administradores locales en las computadoras en su dominio de AD. La contraseña de administrador local actual se almacena en los atributos protegidos de los objetos de la computadora en Active Directory, se cambia automáticamente de forma regular y los usuarios autorizados pueden verla.

En esta guía, le mostraremos cómo configurar y usar Windows LAPS para administrar la contraseña de administrador local en computadoras unidas a un dominio AD.

Hasta abril de 2023, debe descargar manualmente el archivo de instalación MSI de LAPS, implementar los componentes del administrador o del cliente en las computadoras, instalar las plantillas de GPO de ADMX para LAPS y ampliar el esquema de AD.

Las actualizaciones que agregan soporte nativo para la nueva versión de LAPS en Windows se lanzaron en abril de 2023. Ya no necesita descargar e instalar manualmente el paquete MSI para usar LAPS.

Nueva descripción general de LAPS de Windows integrado

Las siguientes actualizaciones acumulativas en abril de 2023 agregaron soporte nativo para Windows LAPS:

  • Windows 11 22H2 - KB5025239

  • Windows 11 21H2 - KB5025224

  • Windows 10 22H2 — KB5025221

  • Servidor Windows 2022: KB5025230

  • Servidor de Windows 2019: KB5025229

¿Qué hay de nuevo en Windows LAPS?

  • Todos los componentes del nuevo LAPS son parte de Windows;

  • Permite almacenar contraseñas de administrador en Active Directory local o en Azure AD;

  • administración de contraseñas DSRM (Modo de restauración de servicios de directorio) en controladores de dominio AD;

  • Soporte para encriptación de contraseñas;

  • historial de contraseñas;

  • Permita que la contraseña del administrador local se cambie automáticamente después de que se haya utilizado para iniciar sesión en la computadora localmente.

Se requiere al menos un nivel funcional de dominio de Windows Server 2016 para la nueva versión de Windows LAPS.

Como mencionamos anteriormente, ya no necesita descargar e instalar manualmente el cliente LAPS o la extensión del lado del cliente (CSE) de la política de grupo. Todos los componentes LAPS necesarios están disponibles en Windows después de instalar las actualizaciones de abril.

Las siguientes herramientas de administración de LAPS de Windows están disponibles:

  • Nuevo archivo de política de grupo ADMX;

  • Una pestaña LAPS separada en las propiedades de la computadora en la consola de Usuarios y computadoras de Active Directory (ADUC);

  • módulo Windows LAPS PowerShell;

  • Registro separado en el Visor de eventos: Registros de aplicaciones y servicios -> Microsoft -> Windows -> LAPS -> Operacional.

Microsoft señala que debe deshabilitar las Políticas de grupo y eliminar la configuración de la versión anterior de LAPS (MSI heredado) antes de implementar el nuevo GPO de LAPS. Para hacer esto, detenga las nuevas instalaciones de LAPS heredados y elimine todas las configuraciones en la siguiente clave de registro HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\State.

Los eventos con los siguientes ID de evento aparecerán en el Visor de eventos si no se elimina la versión heredada de LAPS:

  • ID de evento 10033, LAPS: la máquina está configurada con la configuración de política de LAPS heredada, pero el producto LAPS heredado parece estar instalado. Windows no administrará la contraseña de la cuenta configurada hasta que se desinstale el producto heredado. Alternativamente, puede considerar configurar la configuración de la política LAPS más reciente.

  • Evento 10031, LAPS: LAPS bloqueó una solicitud externa que intentaba modificar la contraseña de la cuenta de administrador actual.

Implementación de la solución de contraseña de administrador local en el dominio de Active Directory

Puede comenzar a implementar la nueva versión de LAPS después de haber instalado las nuevas actualizaciones en todos los controladores de dominio.

Para administrar la solución de contraseña de administrador local, use los cmdlets de PowerShell del módulo LAPS. Puede utilizar los siguientes comandos:

Get-Command -Module LAPS
  • Get-LapsAADPassword
  • Get-LapsDiagnostics
  • Find-LapsADExtendedRights
  • Get-LapsADPassword
  • Invoke-LapsPolicyProcessing
  • Reset-LapsPassword
  • Set-LapsADAuditing
  • Set-LapsADComputerSelfPermission
  • Set-LapsADPasswordExpirationTime
  • Set-LapsADReadPasswordPermission
  • Set-LapsADResetPasswordPermission
  • Update-LapsADSchema

Después de instalar actualizaciones en DC y clientes, debe realizar una actualización de esquema de AD. Esto agregará nuevos atributos. Ejecute el comando:

Update-LapsADSchema

Si no se han actualizado todos los DC, el comando devolverá un error:

Update-LapsADSchema : A local error occurred.

Los siguientes atributos se agregarán al esquema de AD:

  • msLAPS-PasswordExpirationTime
  • msLAPS-Password
  • msLAPS-EncryptedPassword
  • msLAPS-EncryptedPasswordHistory
  • msLAPS-EncryptedDSRMPassword
  • msLAPS-EncryptedDSRMPasswordHistory

Los atributos usados en la versión anterior para almacenar la contraseña no se usan en Windows LAPS (ms-Mcs-AdmPwd y ms-Mcs-AdmPwdExpirationTime).

Abra la consola ADUC (

dsa.msc

), seleccione cualquier equipo en AD y vaya a la pestaña Editor de atributos del objeto AD. Compruebe que el objeto ahora tiene nuevos atributos disponibles.

Este

msLAPS*

los atributos aún no están poblados.

Ahora debe permitir que los equipos de la unidad organizativa (OU) especificada actualicen los atributos de msLAPS* en sus propiedades de cuenta de AD.

Por ejemplo, quiero permitir que las computadoras en un contenedor MUN actualicen las contraseñas almacenadas en los atributos de AD.

Set-LapsADComputerSelfPermission -Identity "OU=Computers,OU=MUN,OU=DE,DC=a-d,DC=com"

Usemos PowerShell para crear un grupo que pueda ver las contraseñas de administrador local en las computadoras de esta unidad organizativa:

New-ADGroup MUN-LAPS-Admins -path 'OU=Groups,OU=MUN,OU=DE,DC=a-d,DC=com' -GroupScope local -PassThru -Verbose
Add-AdGroupMember -Identity MUN-LAPS-Admins -Members a.morgan,b.krauz

Permitiremos que este grupo vea y restablezca la contraseña de administrador local:

$ComputerOU = "OU=Computers,OU=MUN,OU=DE,DC=a-d,DC=com"
Set-LapsADReadPasswordPermission -Identity $ComputerOU -AllowedPrincipals MUN-LAPS-Admins
Set-LapsADResetPasswordPermission -Identity $ComputerOU -AllowedPrincipals MUN-LAPS-Admins

De forma predeterminada, los miembros del grupo de administradores de dominio pueden ver las contraseñas de administrador local en todas las computadoras AD.

Utilice el comando Find-LapsADExetendedRights para verificar los permisos actuales para los atributos LAPS en una unidad organizativa.

Configurar GPO para cambiar las contraseñas de administrador local

Aparecerá un nuevo conjunto de plantillas administrativas para administrar la configuración de LAPS a través de GPO cuando instale las actualizaciones más recientes en Windows (%systemroot%\PolicyDefinitions\laps.admx).

Copie LAPS.admx en la siguiente ubicación si está utilizando un almacén de GPO central para las plantillas ADMX:

\\a-d.site\SysVol\a-d.site\Policies\PolicyDefinitions

La siguiente sección de GPO contiene las opciones de LAPS: Configuración de la computadora -> Políticas -> Plantillas administrativas -> Sistema -> LAPS. Las siguientes opciones de política de grupo LAPS están disponibles aquí:

  • Habilitar copia de seguridad de contraseña para cuentas DSRM

  • Configurar el tamaño del historial de contraseñas cifradas

  • Habilitar el cifrado de contraseña

  • Configurar descriptores de contraseña autorizados

  • Nombre de la cuenta de administrador a administrar

  • Configurar directorio de copia de seguridad de contraseña

  • No permita que el tiempo de caducidad de la contraseña sea superior al requerido por la política

  • Configuración de contraseña

  • Acciones posteriores a la autenticación

Intentemos habilitar la configuración mínima de LAPS de la política de grupo para el dominio de Active Directory

  1. Abra la consola de administración de directivas de grupo (

    gpmc.msc

    ), cree un nuevo GPO y vincúlelo a la unidad organizativa que contiene los equipos;

  2. Abra un nuevo GPO y navegue a la sección que contiene las opciones LAPS;

  3. Habilite la directiva Configurar el directorio de copia de seguridad de la contraseña y establezca Directorio activo aquí. Esta política permite que la contraseña del administrador se almacene en el atributo de la cuenta de la computadora en el Active Directory local;

    Windows LAPS también le permite almacenar contraseñas en Azure Active Directory (AAD) en lugar de en el ADDS local.

  4. Luego habilite la opción Configuración de contraseña. Aquí debe especificar los parámetros de complejidad, longitud y frecuencia de cambio de la contraseña;

    Las siguientes configuraciones de contraseña de LAPS están habilitadas de forma predeterminada: complejidad de contraseña, longitud de contraseña de 14 caracteres y cambio de contraseña cada 30 días.

  5. Especifique el nombre de la cuenta de administrador local cuya contraseña desea cambiar en Nombre de la cuenta de administrador para administrar. Si está utilizando el Administrador de Windows integrado, escriba Administrador aquí.

    El GPO de LAPS no crea ninguna cuenta de administrador local. Si desea utilizar otra cuenta de administrador, créela en equipos que utilicen GPO o PowerShell.

  6. Reinicie su computadora para aplicar la nueva configuración de GPO.

LAPS: obtenga una contraseña de administrador local en Windows

Después de implementar las políticas de grupo de LAPS, Windows cambia la contraseña del administrador local al inicio y luego la escribe en el atributo protegido con contraseña msLAPS en el objeto de la computadora en AD. Puede obtener la contraseña actual para la computadora en la consola ADUC o mediante PowerShell.

Abra la consola ADUC y busque la computadora para la que desea averiguar la contraseña actual del administrador local. Ha aparecido una nueva pestaña LAPS en las propiedades del objeto Equipo.

En esta pestaña se muestra la siguiente información:

  • Caducidad actual de la contraseña de LAPS

  • Nombre de cuenta de administrador local de LAPS

  • Contraseña de la cuenta de administrador local de LAPS

También puede usar PowerShell para obtener la contraseña de administrador actual de la computadora:

Get-LapsADPassword mun-pc221 -AsPlainText
ComputerName : mun-pc221
DistinguishedName : CN=mun-pc221,OU=…
Account : administrator
Password : 3f!lD1.23!l32
PasswordUpdateTime : 4/24/2023 11:14:26 AM
ExpirationTimestamp : 5/24/2023 11:14:26 AM
Source : EncryptedPassword
DecryptionStatus : Success
AuthorizedDecryptor : WOSHUB\Domain Admins

Use esta contraseña para iniciar sesión localmente en esta computadora como administrador.

Para rotar inmediatamente la contraseña de LAPS para la cuenta de administrador local, ejecute el comando:

Reset-LapsPassword

Esto forzará un cambio de contraseña inmediato para la cuenta de administrador local registrada actualmente y escribirá la nueva contraseña en AD.

La solución de contraseña de administrador local de Windows es una característica sencilla e integrada que le permite mejorar la seguridad del uso de cuentas de administrador local en equipos de dominio. LAPS almacena la contraseña de administrador actual en un atributo AD seguro y la cambia en todas las computadoras con regularidad.

Artículos relacionados