Cómo configurar Windows LAPS paso a paso

Windows LAPS es una solución de administración de contraseñas de administrador local poderosa y ahora fácil de configurar que tiene grandes beneficios de seguridad. Windows LAPS almacena contraseñas de administrador local para dispositivos específicos o para todos los dispositivos unidos a su directorio dentro de su directorio (ya sea local o Azure Active Directory), estas contraseñas tendrán un tiempo estricto de vencimiento y rotación, lo que ayudará a evitar la toma de control y el movimiento lateral durante ataques. Esto puede aumentar drásticamente la seguridad en escenarios como cuando se trabaja con agentes de asistencia técnica remota.

Windows LAPS está integrado directamente en los sistemas operativos más recientes, lo que hace que su implementación en toda la organización sea rápida y sencilla para los administradores.

En este tutorial, le mostraré cómo implementar Windows LAPS en sus dispositivos unidos a Active Directory paso a paso.

¿Qué es Windows LAPS?

Windows LAPS es el sucesor de la solución anterior de Microsoft, Microsoft LAPS. LAPS significa Solución decontraseña de administrador local y eso es exactamente lo que hace. Windows LAPS es una nueva característica de Windows que le permite administrar la contraseña de una cuenta de administrador local desde Active Directory local o Azure Active Directory.

LAPS se puede utilizar para realizar copias de seguridad y administrar las contraseñas de la cuenta del administrador local en algunos escenarios diferentes:

• Haga una copia de seguridad de las contraseñas de administrador local para los dispositivos unidos a un Active Directory local, en un Active Directory local.
• Realice una copia de seguridad de las contraseñas de administrador local para los dispositivos unidos a Azure Active Directory en Azure Active Directory.
• Haga una copia de seguridad de las contraseñas DSRM para los controladores de dominio de Windows Server en Active Directory local.

¡Necesito saberlo!

¡La configuración de implementación de Windows LAPS depende de cómo se administran sus dispositivos! Si sus dispositivos solo están unidos al Active Directory local, entonces solo debe realizar una copia de seguridad de las contraseñas en el Active Directory local.

Del mismo modo, si sus dispositivos sólo están conectados a Azure Active Directory, sólo podrá hacer una copia de seguridad de sus contraseñas en Azure Active Directory.

Sin embargo, si sus dispositivos están unidos de forma híbrida a Active Directory local y Azure Active Directory, se puede realizar una copia de seguridad de ellos en cualquiera de las ubicaciones, pero no en ambas.

Requisitos para Windows LAPS

Para utilizar la última versión de Windows LAPS integrada directamente en su sistema operativo, debe ejecutar cualquiera de los siguientes sistemas operativos:

Sistemas operativos del cliente

• Windows 11 22H2: actualización del 11 de abril de 2023
  Windows 11 21H2: actualización del 11 de abril de 2023
  Windows 10: actualización del 11 de abril de 2023

Sistema operativo Windows Server

• Windows Server 2022 - Actualización del 11 de abril de 2023
• Windows Server 2019 - Actualización del 11 de abril de 2023

No se necesitan requisitos de licencia adicionales para utilizar Windows LAPS.

Cómo configurar Windows LAPS paso a paso

1. Comience iniciando sesión en su controlador de dominio como administrador de dominio y abriendo PowerShell.

2. Una vez que PowerShell esté abierto, ejecute el siguiente comando para actualizar el esquema de Active Directory.

Update-LapsAdSchema

Puede ingresar Y para revisar y aprobar manualmente cada actualización del esquema, o ingresar A para aprobar automáticamente todas las actualizaciones.

Los siguientes atributos se agregarán al esquema una vez que ejecute el comando de actualización:

• msLAPS-ContraseñaExpiraciónTiempo
• msLAPS-Contraseña
• Contraseña cifrada msLAPS
• msLAPS-Historial de contraseñas cifradas
• msLAPS-EncryptedDSRMContraseña
• msLAPS-EncryptedDSRMPasswordHistory

Puede verificar que todas las actualizaciones se realizaron correctamente volviendo a ejecutar el comando con el parámetro -verbose.

Update-LapsAdSchema -verbose

Puede ver en el resultado que los atributos requeridos ahora ya están presentes.

3. A continuación, debemos asegurarnos de que el dispositivo administrado en el que queremos configurar LAPS tenga el permiso correcto para actualizar su propia contraseña, lo cual lo hace actualizando los atributos msLAPS- relevantes en el objeto de la computadora. En este punto, los atributos se mostrarán en blanco:

Ejecute el siguiente comando con el nombre único de la unidad organizativa de nivel más alto que contiene la unidad organizativa de su computadora. Por ejemplo, ejecutaré esto en mi unidad organizativa ourcloudnetwork , que contiene una unidad organizativa secundaria llamada Computadoras, que se ejecuta y los permisos en la unidad organizativa de nivel superior se heredan hacia abajo.

Set-LapsADComputerSelfPermission -Identity ourcloudnetwork

Puede ver que si intento ejecutar este comando con un nombre de unidad organizativa que no es único, se producirá el siguiente error:

Set-LapsADComputerSelfPermission: se encontró más de un resultado 2 para la unidad organizativa 'computadoras' en AD

3. Ahora debe asegurarse de que los usuarios necesarios puedan leer la contraseña de LAPS en Active Directory. Utilice el cmdlet Set-LapsADReadPasswordPermission para otorgar permiso a grupos específicos para leer las contraseñas de LAPS para la unidad organizativa deseada.

Por ejemplo, a continuación le otorgo permiso al grupo de seguridad Administradores de estaciones de trabajo para leer las contraseñas de LAPS para computadoras dentro de la unidad organizativa ourcloudnetwork.

Set-LapsADReadPasswordPermission -Identity ourcloudnetwork `
-AllowedPrincipals "ourcloudnetwork\Workstation Admins"

Hay algunos comandos similares que también puedes usar para delegar permisos de la misma manera, estos son:

• Set-LapsADPasswordExpirationTime: otorga permiso a un grupo específico de usuarios para actualizar el tiempo de vencimiento de la contraseña de LAPS en AD
• Set-LapsADResetPasswordPermission: otorga a un grupo específico de permisos de usuario para restablecer manualmente la contraseña de LAPS en AD.

Puede utilizar el comando Find-LapsADExetendedRights para verificar los permisos actuales en una unidad organizativa específica.

4. Ahora podemos implementar la configuración de LAPS en nuestros dispositivos de destino a través de la política de grupo local. Comience creando un nuevo GPO y vinculándolo a la unidad organizativa de su computadora de destino.

5. Edite la política y busque la configuración de LAPS ubicada en Configuración del equipo > Plantillas administrativas > Sistema > LAPS. Como mínimo, debe habilitar Configurar directorio de copia de seguridad de contraseña para realizar una copia de seguridad de la contraseña en Active Directory. .

Puede ver que hay un par de opciones, pero sin esta configuración habilitada, efectivamente está deshabilitando su política LAPS.

6. Debe decidir qué cuenta local se administrará con LAPS. LAPS no creará la cuenta de administrador local por usted; debe asegurarse de que esté presente en los dispositivos administrados para que LAPS actualice su contraseña, ya sea la cuenta de administrador integrada (no recomendada) o una cuenta de usuario personalizada (recomendada). .

Hay muchas formas de crear una nueva cuenta de usuario local y agregarla al grupo de Administradores local, aunque no cubriré los detalles en esta publicación, algunas opciones incluyen:

• Preferencias de política de grupo
• Secuencia de comandos de inicio de sesión de red
• Secuencia de comandos de política de grupo
• Afinado
• A mano
• Script de PowerShell remoto
• Herramientas RMM de terceros

7. Una vez que haya decidido qué cuenta usar, configure la configuración Nombre de la cuenta de administrador para administrar.

Las dos últimas configuraciones para configurar son:

• Configuración de contraseña
• No permita que la contraseña caduque más tiempo que la política requerida

La configuración de Configuración de contraseña le permite definir la complejidad, la antigüedad y la longitud de la contraseña. La configuración de política No permitir que la contraseña caduque más tiempo que el requerido garantiza que si un administrador intenta configurar la contraseña para que caduque más tiempo que la política definida, no tendrá efecto. Por ejemplo, si configuro la configuración de contraseña como se muestra a continuación, si un usuario intenta establecer la caducidad de la contraseña en 5 días, el valor predeterminado será 1 día.

8. ¡Ya ha configurado LAPS! Reinicie el dispositivo del usuario final, asegurándose de que esté en la red del dominio y tendrá efecto.

Cómo recuperar la contraseña de LAPS con la GUI

Para recuperar la contraseña de Windows LAPS para una computadora, puede hacerlo directamente a través de Usuarios y computadoras de Active Directory.

1. Abra ADUC y haga doble clic en la cuenta de computadora cuya contraseña desea recuperar.

2. Seleccione la pestaña LAPS y luego seleccione Mostrar contraseña.

Cómo recuperar la contraseña de LAPS con PowerShell

Una solución más sencilla para algunos puede ser utilizar PowerShell para recuperar la contraseña LAPS de una computadora.

1. Comience abriendo PowerShell.

2. Ejecute el siguiente comando y especifique el nombre de su escritorio de destino.

Get-LapsADPAssword %targetDesktop% -AsPlainText

Su salida se verá como la siguiente: