Cómo configurar la política de grupo para LAPS
La publicación detalla los pasos para configurar la Política de grupo para LAPS. Esta es la tercera y última publicación que cubre la configuración de la política de grupo de LAPS.
En esta publicación modificaremos algunas de las configuraciones de políticas de grupo relacionadas con LAPS. Sabemos que LAPS proporciona administración de contraseñas de cuentas locales de computadoras unidas al dominio. Las contraseñas se almacenan en Active Directory (AD) y están protegidas por ACL. Por lo tanto, sólo los usuarios elegibles pueden leerlo o solicitar su reinicio.
En mis publicaciones anteriores, hemos cubierto dos temas importantes. El primero es cómo instalar e implementar el software Microsoft LAPS y el segundo, cómo configurar Active Directory para LAPS. Puede acceder a ambas publicaciones haciendo clic en los enlaces a continuación.
Cómo configurar la política de grupo para LAPS
Para configurar la política de grupo para LAPS
- Inicie la consola de administración de políticas de grupo.
- Haga clic derecho en la unidad organizativa donde están presentes las computadoras de su dominio.
- Haga clic en Crear un GPO en este dominio y vincúlelo aquí.
- Especifique un nombre de política de grupo como "LAPS" y haga clic en Aceptar.
- En el siguiente paso edite el GPO.
La configuración de LAPS se encuentra en Configuración del equipo > Plantillas administrativas > LAPS. Puede ver cuatro configuraciones presentes. Configuraremos los que sean necesarios.
Haga clic derecho en la configuración de política Habilitar administración de contraseñas de administrador local y haga clic en propiedades. Como queremos administrar la contraseña del administrador local, habilitaremos la configuración de política. Haga clic en Aceptar.
Configuración de contraseña de LAPS
Luego edite la política de configuración de contraseña. De forma predeterminada, esta solución utiliza una contraseña con la máxima complejidad, 14 caracteres, y cambia la contraseña cada 30 días.
Puede cambiar los valores para adaptarlos a sus necesidades editando una Política de grupo. Puede cambiar la configuración de contraseña individual para adaptarla a sus necesidades. Haga clic en Aceptar.
Nombre de la cuenta de administrador: si ha decidido administrar una cuenta de administrador local personalizada, debe especificar su nombre en la Política de grupo. No he configurado esta configuración de política.
Protección contra un tiempo planificado demasiado prolongado para el restablecimiento de contraseña: si no desea permitir la planificación de la caducidad de la contraseña de la cuenta de administrador por un tiempo mayor que la antigüedad máxima de la contraseña, puede hacerlo en GPO.
Si desea ver la configuración de contraseña de una computadora usando PowerShell, Get-AdmPwdPassword lo ayudará.
- Importar módulo AdmPwd.PS
- Get-AdmPwdPassword -Computername “nombre de la computadora“
¿Qué sucede si un usuario al que no se le han concedido derechos para ver la contraseña de administrador local intenta acceder a ella? Si obtuvieran acceso a la interfaz GUI, la contraseña no se mostrará.
Para los usuarios de GUI, existe una forma interesante de encontrar la configuración de contraseña. Ejecute el archivo AdmPwd.UI como administrador. Este archivo se encuentra en la carpeta C:\Program Files\LAPS.
En la ventana de la interfaz de usuario de LAPS, ingrese el nombre de la computadora y haga clic en Buscar. Además de la contraseña, también es visible la información de caducidad.
Realice gpupdate en las máquinas cliente. Ahora mire las propiedades del objeto de la computadora y vea la nueva configuración. La contraseña es visible (texto sin formato).
