Guía de instalación y configuración de Microsoft LAPS

En esta guía, aprenderá cómo instalar y configurar Microsoft LAPS.

Microsoft Local Administrator Password Solution (LAPS) es una herramienta gratuita que aleatoriza la contraseña del administrador local en computadoras unidas a un dominio. Es la mejor manera de garantizar que la cuenta de administrador local tenga una contraseña única y se cambie periódicamente.

Tener la misma contraseña de administrador local en todas las computadoras es un gran riesgo para la seguridad. Esto significa que si se roba la contraseña del administrador local en una computadora, todas las computadoras pueden verse comprometidas. La mejor defensa contra este problema de seguridad es tener una contraseña de administrador local única en cada computadora.

Temas de este artículo:

1. Instale Microsoft LAPS en las computadoras de administración
2. Instale Microsoft LAPS en computadoras cliente
3. Ampliar el esquema de Active Directory
4. Establecer permisos de objetos informáticos
5. Establecer derechos de usuario (permitir permisos de lectura de contraseña almacenada)
6. Configuración de política de grupo
7. Cómo ver la contraseña de la computadora

Paso 1: Instale el software Microsoft LAPS en las computadoras de administración

El software LAPS debe instalarse tanto en las computadoras de administración como en las computadoras cliente. Las funciones de administración se utilizarán para configurar y administrar LAPS.

Puede instalar las funciones de administración de LAPS en el controlador de dominio u otra computadora unida al dominio (como Windows 10 u 11).

1. Descargue el software LAPS desde el siguiente enlace.

https://www.microsoft.com/en-us/download/details.aspx?id=46899

Elija la descarga que desea. Voy a descargar la versión de 64 bits.

2. Haga doble clic en el archivo LAPS.x64.msi para iniciar la instalación.

3. Haga clic en "Siguiente" en la pantalla del asistente de configuración.

4. Acepte el acuerdo de licencia y haga clic en "Siguiente".

5. Instale todas las funciones.

Haga clic en Herramientas de administración y seleccione "Toda la función se instalará en el disco duro local" y haga clic en "Siguiente".

6. Haga clic en Instalar.

Cuando se complete la instalación, haga clic en "Finalizar".

Esto completa la instalación del software LAPS para la computadora de administración. En el paso 3 regresaremos a la computadora de administración para completar la configuración de LAPS.

Paso 2. Instale Microsoft LAPS en las computadoras cliente

La extensión del lado del cliente (CSE) de la política de grupo de LAPS deberá instalarse en cada computadora. Esto se hace utilizando el mismo archivo de instalación utilizado en el paso 1 (LAPS.x64.msi).

Hay muchas formas diferentes de instalar el software cliente LAPS. Si desea implementar el software mediante GPO, consulte el artículo Implementar software mediante GPO.

Para instalar manualmente el software del cliente, ejecute el archivo LAPS.x64.msi y mantenga los valores predeterminados. La única característica que debe seleccionarse es la extensión AdmPwd GPO.

También puede implementar mediante un script, SCCM, PDQ o cualquier otro programa de implementación de software.

Estos son los comandos para implementar con un script.

msiexec /q /i \\server\share\LAPS.x64.ms

A continuación se muestra un ejemplo de alojamiento del archivo en un servidor de archivos.

msiexec /i \server\share\LAPS.x64.msi /quiet

Paso 3. Ampliar el esquema de Active Directory

Microsoft LAPS utiliza dos nuevos atributos para los objetos de computadora en Active Directory.

• ms-Mcs-AdmPwd: este atributo guarda la contraseña de administrador de la computadora.
• ms-Mcs-AdmPwdExpirationTime: este atributo guarda la marca de tiempo de vencimiento de la contraseña.

Para habilitar estos nuevos atributos, es necesario ampliar el esquema de Active Directory.

Siga los pasos a continuación.

1. Deberá iniciar sesión con una cuenta que sea miembro del grupo de administradores de Scheme en Active Directory.

2. Ejecute los dos comandos siguientes:

Import-module AdmPwd.PS
Update-AdmPwdADSchema

Debería obtener un estado de éxito como el de la captura de pantalla anterior.

Ahora deberías ver los dos nuevos atributos en un objeto de computadora. Puede verificar esto abriendo el editor de atributos en una computadora en Active Directory.

Actualmente, estos atributos no tienen valor pero se actualizarán cuando se complete la configuración de LAPS.

Paso 4. Establecer permisos de computadora

Los permisos de escritura en los atributos ms-Mcs-AdmPwd y ms-Mcs-AdmPwdExpirationTime deben modificarse para la cuenta integrada SELF. Esto es necesario para que las computadoras puedan actualizar la contraseña y la marca de tiempo de vencimiento de la contraseña del administrador local. Esto se hace mediante PowerShell.

1. Primero, identifique la unidad organizativa que contiene los objetos de su computadora.

Por ejemplo, todas mis computadoras están en la OU "Computadoras ADPRO"

2. Utilice el comando Set-AdmPwdComputerSelfPermission para configurar los permisos.

Nota: Es posible que primero deba ejecutar el módulo de importación ADMPwd.ps.

Set-AdmPwdComputerSelfPermission -OrgUnit "ADPRO Computers"

En este ejemplo, estoy configurando los permisos en la unidad organizativa "Computadoras ADPRO".

No es necesario ejecutar esto en subunidades organizativas.

Paso 5. Establecer derechos de usuario (permitir permisos de lectura de contraseña almacenada)

De forma predeterminada, sólo los miembros del grupo Administradores de dominio pueden leer la contraseña almacenada de las cuentas de la computadora. Puede agregar usuarios o grupos adicionales con PowerShell.

En este ejemplo, agregaré el grupo it_wrk_admins para tener permiso para ver la contraseña del administrador local.

Abra PowerShell y ejecute el siguiente comando.

Set-AdmPwdReadPasswordPermission -Identity "ADPro Computers" -AllowedPrincipals "it_wrk_admins"

Para ver qué usuarios o grupos tienen permiso, ejecute el siguiente comando.

   Find-AdmPwdExtendedRights -Identity "ADPro Computers"

Arriba puede ver los administradores del dominio y el grupo it_wrk_admins tiene permisos de derechos extendidos.

Sólo desea permitir que los administradores de TI aprobados tengan permiso para leer la contraseña. A los usuarios habituales no se les debe permitir este acceso. Utilice el comando Find-AdmPwdExtendedRights para ver qué usuarios tienen derecho a ver la contraseña.

Paso 6. Configuración de la política de grupo

El último paso de configuración es crear una política de grupo para la configuración de LAPS.

Consejo: Si tiene configurado un almacén central de políticas de grupo, primero deberá copiar los archivos AdmPwd.admx y AdmPwd.adml de c:\Windows\PolicyDefinitions a su almacén central.

1. Abra la consola de administración de políticas de grupo.

2. Cree un nuevo GPO en la unidad organizativa que contiene sus computadoras.

Asigne un nombre al GPO. Llamé al mío Computador - LAPS.

3. Edite el GPO

Busque las siguientes configuraciones de políticas Configuración del equipo -> Políticas -> Plantillas administrativas -> LAPS.

Haga clic en la política Habilitar la administración de contraseñas de administrador local.

Haga clic en Habilitar y luego en Aceptar.

Haga clic en la política Configuración de contraseña.

Haga clic en Habilitar. Luego configure la configuración de complejidad de la contraseña y haga clic en Aceptar.

Si tiene una cuenta de administrador local personalizada que desea que LAPS administre, puede habilitar el Nombre de la cuenta de administrador a administrar.

Consejo. No es necesario configurar esta política para la cuenta de administrador integrada, incluso si le cambió el nombre. Esta política es solo para cuentas de administrador local personalizadas.

Por ejemplo, si tuviera una cuenta de administrador local personalizada llamada IT_Admin, podría usar esta política para que LAPS la administre.

Eso completa los pasos de configuración de Microsoft Laps.

Cómo ver la contraseña del administrador local

En su computadora de administración, abra el programa LAPS UI.

Ingrese un nombre de computadora y haga clic en buscar.

Arriba puede ver la contraseña del administrador local para la PC1 y cuándo caduca.

Usando PowerShell.

Get-AdmPwdPassword PC1

También puede ver la contraseña en Active Directory abriendo la computadora y haciendo clic en el Editor de atributos. El único problema con esto es que la caducidad de la contraseña no está en un formato legible.

Otra opción es utilizar AD Pro Toolkit. Incluye un informe de contraseña de LAPS que obtendrá la contraseña de LAPS en todas las computadoras. Para ejecutar este informe, haga clic en Informes -> Seguridad -> Contraseñas de LAPS.

Espero que este artículo te haya resultado útil. Si tiene un comentario, publíquelo a continuación.

contenido relacionado

Descripción general de Windows LAPS

Conceptos clave en Windows LAPS

Lista de administradores locales de PowerShell

Cómo eliminar los derechos de administrador local