Cómo configurar el directorio activo para LAPS
Esta publicación cubre los pasos para configurar Active Directory para LAPS. En resumen, prepararemos nuestro Active Directory para implementar LAPS.
En mi publicación anterior, vimos cómo instalar e implementar Microsoft LAPS. Instalamos LAPS en la computadora de administración y, utilizando el GPO, implementamos la solución de contraseña de administrador local en las máquinas cliente.
En primer lugar, el esquema de Active Directory debe ampliarse con dos nuevos atributos. Estos almacenan la contraseña de la cuenta de administrador local administrada para cada computadora. Además, también se almacena la marca de tiempo de caducidad de la contraseña. Actualizaremos el esquema importando el módulo de PowerShell.
Cómo configurar el directorio activo para LAPS
Para configurar Active Directory para LAPS, primero debe extender el esquema AD. Sobre todo, asegúrese de que la cuenta de usuario que utilice para este proceso sea miembro del grupo Administradores de esquema de Active Directory.
- ms-Mcs-AdmPwd: almacena la contraseña en texto sin cifrar
- ms-Mcs-AdmPwdExpirationTime: almacena el tiempo para restablecer la contraseña
Actualizar el esquema usando PowerShell
Para actualizar el esquema, primero debe importar el módulo de PowerShell. Abra una ventana administrativa de PowerShell e ingrese el siguiente comando:
Módulo de importación AdmPwd.PS
Update-AdmPwdADSchema (Este comando actualiza el esquema)
En el siguiente paso, otorgaremos a las computadoras la capacidad de actualizar su atributo de contraseña usando el comando Set-AdmPwdComputerSelfPermission.
En este ejemplo tengo las computadoras cliente en "Comps OU". El permiso de escritura en los atributos ms-Mcs-AdmPwdExpirationTime y ms-Mcs-AdmPwd de todas las cuentas de computadora debe agregarse a la cuenta integrada SELF. Esto es necesario para que la máquina pueda actualizar la contraseña y la marca de tiempo de vencimiento de su propia contraseña de administrador local administrada. Es posible que necesite ejecutar el módulo de importación AdmPwd.PS si se trata de una ventana nueva.
Set-AdmPwdComputerSelfPermission -OrgUnit
Repita este procedimiento para cualquier unidad organizativa adicional que contenga cuentas de computadora.
Eliminación de los derechos ampliados
En el siguiente paso, debe restringir la capacidad de ver la contraseña a usuarios y grupos específicos. Por lo tanto, elimine "Todos los derechos extendidos" de los usuarios y grupos que no requieren leer el valor del atributo ms-Mcs-AdmPwd. Esto es necesario porque el permiso Todos los derechos/permisos extendidos también otorga permiso para leer atributos confidenciales.
Si desea hacer esto para todas las computadoras, simplemente repita los siguientes pasos en cada unidad organizativa que contenga esas computadoras. Puede omitir esto en subcontenedores de unidades organizativas ya procesadas, a menos que haya deshabilitado la herencia de permisos.
1. Abra ADSIEdit
2. Haga clic derecho en la unidad organizativa que contiene las cuentas de computadora en las que está instalando esta solución y seleccione Propiedades.
3. Haga clic en la pestaña Seguridad.
4. Haga clic en Avanzado.
5. Seleccione los grupos o usuarios que no desea que puedan leer la contraseña y luego haga clic en Editar.
6. Desmarque Todos los derechos extendidos.
Para encontrar rápidamente qué entidades principales de seguridad tienen derechos extendidos a la unidad organizativa, puede usar el cmdlet de PowerShell. Es posible que necesite ejecutar Import-module AdmPwd.PS si se trata de una ventana nueva.
Find-AdmPwdExtendedrights -identidad “NOMBRE DE LA OU”
En el siguiente paso, otorgaremos derechos a los usuarios para permitirles recuperar la contraseña de una computadora. Usaremos el comando Set-AdmPwdReadPasswordPermission para hacer esto.
Set-AdmPwdReadPasswordPermission -OrgUnit
