Active Directory: instalación y configuración de la solución de contraseña de administrador local (LAPS)
Esta guía paso a paso demuestra la integración de LAPS en un entorno de Active Directory. Las contraseñas de los usuarios de Active Directory se almacenan centralmente en todos los controladores de dominio. ¿Qué pasa con la cuenta local del administrador? Muchos de nosotros usamos la misma contraseña en todas las computadoras. Una pesadilla en términos de seguridad. LAPS puede almacenar y cambiar las contraseñas del administrador local de forma centralizada.
Descarga del instalador de LAPS
LAPS debe instalarse en un servidor de administración (en mi caso, un controlador de dominio de Windows Server 2016). Primero debemos descargar el instalador de LAPS: https://www.microsoft.com/en-us/download/details.aspx?id=46899
Instalación de LAPS en el servidor de gestión
Durante la instalación, es importante seleccionar todas las funciones; de lo contrario, solo se instalarán las extensiones del lado del cliente (que también son necesarias para los clientes).
Modificar el esquema de Active Directory
Se deben agregar dos atributos a los objetos de la computadora:
- msMcsAdmPwd
- msMcsAdmPwdExpirationTime
Ambos atributos se pueden crear mediante comandos LAPS en PowerShell. El usuario debe ser miembro del grupo de administradores de esquema de Active Directory. Abra Windows PowerShell y ejecute
Import-Module AdmPwd.PS
Update-AdmPwdADSchema
Configurar permisos
Las computadoras del dominio deben tener permisos de escritura para renovar la contraseña del administrador local. En mi caso, concedo acceso a todos los ordenadores de la unidad organizativa “Estaciones de trabajo”.
Set-AdmPwdComputerSelfPermission -Identity Workstations
Ahora tenemos que configurar los permisos del grupo. Todos los miembros del grupo de este grupo podrán leer la contraseña local de cada computadora de forma centralizada. Otorgo “permiso de lectura de contraseña” para el grupo de administradores del dominio.
Set-AdmPwdReadPasswordPermission -OrgUnit Workstations -AllowedPrincipals "Domain-Admins"A continuación configuramos el derecho a restablecer la contraseña de la cuenta de administrador local. Como antes, lo permito para todos los administradores de dominio.
Set-AdmPwdResetPasswordPermission -OrgUnit Workstations -AllowedPrincipals "Domain-Admins"Instalación manual de LAPS en las computadoras cliente
Para utilizar LAPS, las extensiones AdmPwd GPO deben estar instaladas en todas las computadoras cliente. Esto se puede hacer manualmente o mediante GPO. En mi caso, instalo manualmente la herramienta utilizada anteriormente en un sistema Windows 10. Todo lo que necesitas hacer es instalar sólo las extensiones del lado del cliente.
Instalación de LAPS en las computadoras cliente mediante la instalación de software de política de grupo (masiva)
Bueno, es aburrido instalar LAPS en cientos o miles de computadoras manualmente. En un entorno de producción, puede instalar el software utilizando la política de grupo. Esto ahora lleva algo de tiempo. ¿Estás listo? ?
Crear una carpeta compartida
Primero, tenemos que crear una carpeta compartida y colocar en ella los archivos de instalación. Todo lo que necesitamos es PowerShell y el paquete de instalación. Para crear una carpeta compartida en el servidor de administración, abra Windows PowerShell y ejecute
New-Item -Itemtype Directory -Name LAPS -Path C:\
Una vez creada la carpeta, active compartir.
New-SmbShare -Name LAPS -Path C:\LAPS\
Ahora copie el paquete de instalación en la carpeta.
Configurar un GPO para la instalación de software
En un controlador de dominio, abra la consola de administración de grupos (gpmc.msc). Cree un nuevo GPO siguiendo mis capturas de pantalla.
Proporcione un nombre para el GPO.
Haga clic en Editar.
Navegue a Configuración de la computadora - Políticas - Configuración de software. Haga clic derecho en Instalación de software y seleccione Nuevo - Paquete.
Presta atención al camino. Debe proporcionar la ruta UNC de la carpeta compartida previamente configurada. ¡No comience a explorar su computadora para encontrar el paquete! Ingrese la ruta a la carpeta manualmente usando el formato \\ServerName\SharedFolderName\LAPS.x64.msi y haga clic en Abrir.
A continuación, seleccione Asignado.
Revisa tu trabajo.
Finalmente, vincule el GPO a una unidad organizativa. Asegúrese de vincularlo a la unidad organizativa de sus computadoras cliente.
Para realizar pruebas, ejecute gpupdate /force en una de sus computadoras cliente. Luego reinicie la computadora. Después de reiniciar, verifique Programas y características.
Sigamos configurando los pasos finales.
Habilitación de LAPS en todas las computadoras cliente
El último paso es crear un GPO para LAPS. En un controlador de dominio, abra la consola de administración de políticas de grupo (gpmc.msc) y cree un nuevo GPO llamado LAPS. Abra el GPO y navegue hasta Configuración del equipo - Políticas - Plantillas administrativas - LAPS. Habilite "Habilitar la administración de contraseñas de administrador local".
Nota importante: Es posible que desee cambiar la configuración “Nombre de la cuenta de administrador a administrar” si el nombre de su cuenta de administrador local en su computadora cliente no es “administrador”. pero f.e. “administrador“.
Luego vincule el GPO a la unidad organizativa.
Ejecute gpupdate /force en todas las computadoras cliente. Puedes hacer esto de forma remota: PowerShell: forzar gpupdate en todas las computadoras del dominio
Mostrar contraseñas de administrador local
En el servidor de administración abra LAPS.
Ingrese el nombre de la computadora de uno de sus clientes.
Como alternativa, abra Windows PowerShell y ejecute
Import-Module AdmPwd.PS
Get-AdmPwdPassword -ComputerName ComputerName | Format-List
Ajustes avanzados
Cambiar políticas de contraseña
Con LAPS puede aplicar políticas de contraseñas de administrador local. Abra el GPO creado anteriormente y configure los ajustes adecuados.
¡Diviértete con VUELTAS!
Más información sobre LAPS aquí: Technet: “Solución de contraseña de administrador local”.