LAPS für Windows in klassischen On-Premise Umgebungen gibt es schon lange. Nach langer Wartezeit und „private Preview“ steht LAPS nun in „public preview“ zur Verfügung.
Voraussetzungen:
Mit diesen Updates wird LAPS direkt in das Betriebssystem integriert. Eine manuelle Installation ist nicht mehr notwendig.
Entra Admin Center
LAPS muss zunächst global im Tenant aktiviert werden.
Quelle: https://entra.microsoft.com/#view/Microsoft_AAD_Devices/DevicesMenuBlade/~/DeviceSettings/menuId/Devices
Intune Admin Center
Alle weiteren Einstellungen werden dann in Intune konfiguriert. Unter Endpunktsicherheit -> Kontoschutz werden die Einstellungen vorgenommen.
Quelle: https://endpoint.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/accountprotection
Die LAPS-Richtlinie legt das zu verwaltende Konto auf dem Gerät nicht automatisch an. Das muss von anderer Stelle sichergestellt sein. Das ist über Intune z.B. mit OMA-URIs möglich.
Gibt man in der LAPS-Richtline keinen Kontonamen an, verwaltet LAPS das standardmäßige „Administrator“-Konto. Dieses ist aber grundsätzlich deaktiviert. Um es automatisiert zu aktiveren, kann Intune uns wiederrum behilflich sein.
Um das Kennwort nun abzurufen, gibt es mehrere Möglichkeiten. In Intune auf der Geräte-Detail Ansicht:
Oder in AzureAD bzw. Entra:
Mehr zur Einrichtung von LAPS finden Sie auch hier:
Microsoft LAPS – eine Anleitung für eine professionelle Einrichtung
Sollten Sie weitere Fragen zum Thema rund um LAPS haben, dann melden Sie sich gerne bei uns.
Microsoft LAPS (Local Administrator Password Solution) ist ein kostenloser Zusatz für Microsoft Active Directory (AD), der es IT-Administratoren ermöglicht, automatisch zufällige, lokale Administratorkennwörter für Windows-Computer in einem Netzwerk zu generieren, zu verwalten und zu aktualisieren. Das Tool verbessert die Sicherheit, indem es sicherstellt, dass alle lokalen Administratorkennwörter innerhalb eines Netzwerks einmalig, zufällig und stark sind.
Microsoft LAPS ist eine einfache, aber wirksame Lösung zur Verbesserung der Sicherheit von Windows-Computern in einem Netzwerk. Unternehmen sollten es in Betracht ziehen, es als Teil ihrer IT-Sicherheitsstrategie zu implementieren, um das Risiko von Cyber-Angriffen zu minimieren.
