Cómo implementar Microsoft Entra LAPS con Intune paso a paso

Microsoft Entra ID LAPS (Solución de contraseña de administrador local) proporciona administración de una única cuenta de administrador local en dispositivos unidos a Microsoft Entra ID o unidos a Active Directory local. Luego, la contraseña se protege en el directorio y luego se puede delegar el acceso a la contraseña a usuarios específicos.

La configuración e implementación de los modernos Microsoft Entra ID LAPS se simplifica con Microsoft Intune; una vez habilitado en su inquilino, se puede usar un único perfil de configuración para configurar Windows LAPS (integrado en la última versión de los sistemas operativos Windows). Luego se puede acceder a la contraseña y rotarla manualmente a través del portal de administración de Microsoft Entra o Intune.

En este tutorial, le mostraré cómo configurar Microsoft Entra ID LAPS desde el portal de administración de Microsoft Intune.

Acerca de LAPS con Intune

El escenario Microsoft Entra ID LAPS está respaldado por las nuevas capacidades LAPS de Windows integradas directamente en el sistema operativo Windows. Esto significa que se puede implementar rápida y fácilmente sin necesidad de instalar software de cliente adicional.

La desventaja de esto viene en forma de requisitos. Windows LAPS solo es compatible con los sistemas operativos más recientes, lo que significa que si no está actualizado y no es coherente con las actualizaciones de funciones de Windows (que son una molestia para algunos), es posible que se quede con algunos dispositivos no protegidos. Aunque claro, tener todos los dispositivos actualizados es algo bueno. Por lo tanto, es importante considerar cuidadosamente los requisitos para aprovechar los beneficios de seguridad que puede brindar Microsoft Entra ID LAPS con Intune. Básicamente es todo o nada, si dejas un agujero el hacker lo encontrará.

La implementación de Microsoft Entra ID LAPS se simplifica con Microsoft Intune; sin embargo, para aquellos con capacidades de administración limitadas, también se puede implementar mediante políticas de grupo, manualmente a través de claves de registro o usando la configuración de CSP de Windows en Intune. Por alguna razón, se aplican varios métodos de implementación a una sola máquina, y la configuración de Windows CSP/Intune siempre tendrá prioridad. Intune siempre será la opción recomendada, es simple, las funciones de generación de informes son buenas y no requiere línea de visión con un controlador de dominio.

Requisitos

Microsoft Entra ID LAPS utiliza el componente Windows LAPS integrado en el sistema operativo Windows, disponible en las siguientes versiones de Windows. Puede utilizar los enlaces siguientes para descargar manualmente los archivos de actualización necesarios del Catálogo de actualizaciones de Microsoft.

Windows 11 22H2: actualización del 11 de abril de 2023 -> Descargar KB5025239
Windows 11 21H2: actualización del 11 de abril de 2023 -> Descargar KB5025224
Windows 10: actualización del 11 de abril de 2023 -> Descargar KB5025221
Windows Server 2022: actualización del 11 de abril de 2023 -> Descargar KB5025230
Windows Server 2019: actualización del 11 de abril de 2023 -> Descargar KB5025229

Afortunadamente, LAPS viene gratis con cualquier versión gratuita de Microsoft Entra ID, por lo que si tiene alguna licencia de Microsoft 365 en su inquilino, podrá guardar la contraseña de LAPS en Microsoft Entra ID. Sin embargo, como es de esperar, para la administración a través de Intune necesitará como mínimo una licencia Microsoft Intune Plan 1, que es la suscripción básica de Intune. También es compatible durante una suscripción de prueba.

Habilitar Microsoft Entra LAPS

Para admitir la implementación de Microsoft Entra ID LAPS, primero debe habilitar Windows LAPS para Microsoft Entra ID en el portal de administración de Microsoft Entra. Para hacer esto, simplemente siga los pasos a continuación:

1. Inicie sesión en Microsoft Entra.

2. Seleccione Azure Active Directory y, luego, Dispositivos.

3. Seleccione Configuración del dispositivo.

4. Establezca Habilitar solución de contraseña de administrador local (LAPS) de Microsoft Entra en Sí y luego haga clic en Guardar y en la parte superior.

Cuando esto esté completo, estará listo para habilitar Microsoft Entra LAPS en sus dispositivos. Además, entre bastidores, esto establecerá el campo IsEnabled para la configuración localadminpassword en True en Microsoft Graph.

También debe saber que cuando habilite Microsoft Entra LAPS aquí, estará disponible para almacenar contraseñas de LAPS para todos los dispositivos. Si desea habilitar la configuración para todos los dispositivos, o solo para dispositivos específicos, esto se hará con los perfiles de configuración en el siguiente paso.

Crear un perfil de configuración de LAPS

Ahora que LAPS está habilitado para su inquilino, ahora está listo para crear un perfil de configuración que contendrá todas las configuraciones para que Microsoft Entra LAPS se aplique a sus dispositivos.

1. Inicie sesión en Intune https://intune.microsoft.com/.

2. Seleccione Seguridad de endpoints.

3. Luego seleccione Protección de cuenta.

4. Haga clic en Crear política para crear una nueva política de protección de endpoints para Azure AD LAPS.

5. En la ventana emergente, seleccione Windows LAPS de la lista desplegable y haga clic en Crear.

6. Elija un nombre de política significativo y haga clic en Siguiente.

7. Defina los ajustes de configuración de Microsoft Entra LAPS. Utilice mi configuración como se recomienda:

Algunas configuraciones anteriores se han dejado como predeterminadas, los valores predeterminados serán los siguientes:

Nombre de la cuenta de administrador: se utilizará el SID de administrador predeterminado (que es coherente en todos los dispositivos), independientemente de si se ha cambiado el nombre de la cuenta.
Complejidad de la contraseña: letras grandes + letras pequeñas + números + caracteres especiales
Longitud de la contraseña: 14 caracteres
Acciones posteriores a la autenticación: restablecer la contraseña y cerrar sesión en la cuenta administrada.
Retraso del restablecimiento posterior a la autenticación: 24 horas.

8. Defina las etiquetas de alcance en la sección Etiquetas de alcance y haga clic en Siguiente.

9. Haga clic en Agregar todos los dispositivos para aplicar esta política a todos los dispositivos compatibles inscritos en Intune. También puede definir cualquier filtro de dispositivo aquí para excluir dispositivos específicos de la política Microsoft Entra LAPS. Luego haga clic en Siguiente.

10. Finalmente revise su configuración y haga clic en Crear.

Compruebe si Microsoft Entra LAPS tiene éxito

Al implementar Microsoft Entra LAPS, no es necesario reiniciar sus dispositivos, a diferencia de la versión anterior de LAPS, donde sería necesario reiniciar para implementar MSI a través de GPO. Esto significa que la próxima vez que la política se aplique a su dispositivo, se configurará LAPS.

Puede verificar si la política se ha implementado según lo esperado desde la ventana del informe de políticas:

Desde el portal de Intune: Seguridad de endpoints > Protección de cuenta > *Su política de LAPS* > Ver informe.

Registros de eventos de Windows

Verá el ID de evento 10022 para LAPS una vez que se haya implementado correctamente en el cliente, ubicado en:

Registros de aplicaciones y servicios > Microsoft > Windows > LAPS

El registro contendrá información sobre la configuración de LAPS, esto puede ayudarlo a determinar la política correcta que se aplica si tiene diferentes configuraciones para diferentes grupos de dispositivos.

La política LAPS actual está configurada de la siguiente manera:

Fuente de la política: CSP
Directorio de respaldo: Azure Active Directory
Nombre de la cuenta del administrador local:
Antigüedad de la contraseña en días: 7
Complejidad de la contraseña: 4
Longitud de la contraseña: 14
Periodo de gracia posterior a la autenticación (horas): 24
Acciones posteriores a la autenticación: 0x3

Consulte https://go.microsoft.com/fwlink/?linkid=2220550 para obtener más información.

Ver y rotar la contraseña de Microsoft Entra LAPS

Ver y rotar la contraseña de LAPS para un dispositivo se puede hacer rápida y fácilmente a través del portal Microsoft Entra o el portal Intune.

Portal de Microsoft

Para ver la contraseña de LAPS desde Microsoft Entra Portal, siga estos pasos:

Dispositivos > Recuperación de contraseña de administrador local > Seleccione su dispositivo > Mostrar contraseña de administrador local.

Portal de sintonización

Para ver la contraseña de LAPS desde el Portal de Intune, siga estos pasos:

Dispositivos > Todos los dispositivos > Seleccione su dispositivo > Contraseña de administrador local > Mostrar contraseña de administrador local fuerte>.

Para rotar la contraseña antes del período de vencimiento establecido, seleccione el dispositivo desde Intune, haga clic en los 3 puntos en la parte superior derecha y luego haga clic en Rotar contraseña de administrador local.

LAPS también bloqueará los intentos externos de cambiar la contraseña, incluso cuando utilice la función "restablecer contraseña" en Azure para máquinas virtuales. El siguiente registro aparecerá en el registro de eventos de Windows:

ID de evento: 10031

LAPS bloqueó una solicitud externa que intentaba modificar la contraseña de la cuenta administrada actual.

Nombre de cuenta: %accountname%
><Cuenta RID: 0x1F4
>
Consulte https://go.microsoft.com/fwlink/?linkid=2220550 para obtener más información.