Búsqueda de sitios web

Cómo crear una cuenta de administrador local en dispositivos Windows con Intune

En este tutorial, le mostraré cómo crear una nueva cuenta de administrador local en sus dispositivos Windows usando Microsoft Intune. Si bien existen algunos métodos preferidos entre los profesionales y MVP para crear cuentas de administrador local, aquí usaremos un script de PowerShell simple para la detección y creación de la cuenta.

¿Debería utilizar la cuenta de administrador local integrada?

A menudo se pregunta por qué necesita la complejidad adicional de crear una nueva cuenta de administrador local y por qué no puede simplemente usar la cuenta integrada de Windows. Bueno, la razón detrás de esto se puede dividir de manera muy simple en los siguientes puntos:

  • La cuenta de administrador integrada tiene un SID conocido. Incluso si se cambia el nombre de la cuenta, un atacante puede enumerarla fácilmente.
  • La cuenta no se puede bloquear de forma predeterminada. Esto lo hace susceptible a ataques de fuerza bruta. (A partir del 11 de octubre de 2022, se puede aplicar el bloqueo de cuenta en esta cuenta, pero no está habilitado de forma predeterminada).
  • CIS recomienda no utilizarlo. El Centro para la Seguridad de Internet (COS) proporciona recomendaciones muy respetadas para configuraciones de mejores prácticas en una variedad de productos dentro de la industria. A veces, las empresas simplemente deben ajustarse a una política y adherirse a un estándar para cumplir con los requisitos de cumplimiento.

Cuenta de administrador local realmente simple

El proceso de creación de una cuenta de administrador local en dispositivos Windows utilizando Microsoft Intune se puede resumir en los siguientes pasos:

  1. Cree un script de PowerShell para detectar si la cuenta está presente y es miembro del grupo de administradores locales.
  2. Cree un script de PowerShell para crear la cuenta si no existe y agréguela al grupo de administradores locales.
  3. Cargar como un paquete de script de corrección en Intune

Debe considerar con este enfoque que debe tener un método para cambiar y administrar la contraseña de la cuenta después de que se haya implementado. La mejor forma de hacerlo es utilizar Windows LAPS con Microsoft Entra e Intune.

Guión de detección

<#
Written by Daniel Bradley
https://ourcloudnetwork.com/
https://www.linkedin.com/in/danielbradley2/
#>

#The name of the account
$AccountName = 'localadmin'

#Check if user exisis
$Userexist = (Get-LocalUser).Name -Contains $AccountName
if ($userexist) { 
  Write-Host "$AccountName exists" 
} 
Else {
  Write-Host "$AccountName does not Exists"
  Exit 1
}

#Check if user is a local admin
$localadmins = ([ADSI]"WinNT://./Administrators").psbase.Invoke('Members') | % {
 ([ADSI]$_).InvokeGet('AdsPath')
}

if ($localadmins -like "*localadmin*") {
    Write-Host "localadmin is a member of local admins"
    exit 0     
} else {
    Write-Host "ohglocaladmin is NOT a member of local admins"
    exit 1
}

Guión de remediación

<#
Written by Daniel Bradley
https://ourcloudnetwork.com/
https://www.linkedin.com/in/danielbradley2/
#>

#The name of the account
$accountName = 'localadmin'

#Add system.web assembly
Add-Type -AssemblyName 'System.Web'
 
#Check if user exisis
$Userexist = (Get-LocalUser).Name -Contains $AccountName
if (!$userexist) {
    $password = [System.Web.Security.Membership]::GeneratePassword(20,5)
    $Securepassword = ConvertTo-SecureString $Password -AsPlainText -force
    $params = @{
        Name        = $accountName
        Password    = $Securepassword
    }
    New-LocalUser @params
}

# Add the account to the Administrators group
Add-LocalGroupMember -Group "Administrators" -Member $accountName

Carga del script de corrección en Microsoft Intune

Tanto el script de detección como el script de corrección primero deben guardarse en un archivo de PowerShell. Puede hacerlo copiando y pegando cada uno de los scripts anteriores en un archivo de bloc de notas y guardándolos con la extensión de archivo .ps1. Una vez que haya hecho eso, siga los pasos a continuación para cargarlos en Intune:

1. Inicie sesión en Microsoft Intune.

2. Seleccione Dispositivos y luego Remediaciones.

3. Seleccione Crear paquete de script.

4. Defina la configuración básica de corrección, como el nombre del paquete y una descripción significativa.

5. En la página de configuración, cargue ambos archivos de secuencia de comandos en la ubicación correspondiente, luego asegúrese de que la secuencia de comandos no se ejecute en el contexto de los usuarios y que la verificación de firma de la secuencia de comandos obligatoria esté configurada en No. Como todas las estaciones de trabajo dentro del alcance de este paquete deben estar 64 bits, establezca Ejecutar script en PowerShell de 64 bits en Sí.

6. En la página Asignaciones, asigne el paquete al grupo objetivo de usuarios y defina la frecuencia con la que se ejecutará el paquete de corrección.

7. Luego haga clic en Crear.

Supervisión del progreso de la implementación

Debe permitir que el paquete de corrección se ejecute durante algún tiempo según el cronograma que definió. De lo contrario, puede ejecutar el paquete de corrección manualmente en un dispositivo de destino como prueba desde la hoja Dispositivos de Intune.

Para monitorear el estado de su implementación, seleccione el paquete de reparación y haga clic en la opción de menú Descripción general. Inmediatamente verá una descripción general de alto nivel del total de dispositivos que se han detectado y solucionado. También puede ver información más detallada en la página del menú Estado del dispositivo, como se muestra a continuación:

Artículos relacionados