Microsoft LAPS: eine Anleitung für die professionelle Einrichtung

Microsoft LAPS steht für “Local Administrator Password Solution”. Es dient dazu, Passwörter lokaler Konten (vorzugsweise sensiblen Konten, wie das des Administrators) zentral aus dem Active Directory heraus zu steuern. Ziel ist es dabei sicherzustellen, dass das lokale Administratorkonto auf jedem einzelnen PC-Client oder Server ein individuelles Passwort hat.

In der folgenden Anleitung nutzen wir den Begriff LAPS-Client. Der LAPS-Client kann sich sowohl auf einem PC-Client als auch auf einem Server befinden.

Wir gehen bei der Konfiguration und Bereitstellung von einer Aufteilung der Anforderungen für PC-Clients und Server aus. Sowohl in der Komplexität der Passwörter, als auch in den Berechtigungen für das Auslesen und Zurücksetzen selbiger.

Wir empfehlen die Aufteilung mindestens zwischen PC-Clients und Servern. Innerhalb der Server kann selbstverständlich noch in Anlehnung an das Tiering-Modell von Microsoft weiter eingegrenzt werden. Wir empfehlen dringend die dedizierte Konfiguration von Tier-0-Systemen, etwa PKI, sofern auch dort Microsoft LAPS verwendet wird. In unserem Beispiel bleiben wir bei einer 2-stufigen Konfiguration.

• Active Directory Gruppe “LAPS_ClientAdmin_R” (Lesen)

• Active Directory Gruppe “LAPS_ClientAdmin_W” (Schreiben)

• Active Directory Gruppe “LAPS_ServerAdmin_R” (Lesen)

• Active Directory Gruppe “LAPS_ServerAdmin_W” (Schreiben)

• LAPS Setup. Enthält:

  • Fat Client UI – grafisches User Interface zum Auslesen der Passwörter aus dem Active Directory

  • PowerShell Modul zur Administration per PowerShell

  • Group Policy Template – zur Verteilung der Konfiguration auf den Client per GPO

3.1 Client-/Serverberechtigungen für das Schreiben von Passwörtern

Damit die aus dem Active Directory vorgegebenen Passwortrichtlinien umgesetzt werden können, benötigen die LAPS-Clients eine entsprechende Schreibberechtigung. Diese erteilen wir mit den folgenden Befehlen:

Set-AdmPwdComputerSelfPermission -OrgUnit “OU=Clients,DC=Test,DC=demo”

Set-AdmPwdComputerSelfPermission -OrgUnit “OU=Server,DC=Test,DC=demo”

3.2 Berechtigung zum Auslesen von LAPS-Client-Passwörtern

Mit den folgenden Befehlen berechtigen wir die einzelnen Gruppen dazu, LAPS-Client-Passwörter in der Active Directory Organisationseinheit “Clients” und “Server” auszulesen.

Set-AdmPwdReadPasswordPermission -OrgUnit “OU=Clients,DC=Test,DC=demo” -AllowedPrincipals “Test\LAPS_ClientAdmin_R”

Set-AdmPwdReadPasswordPermission -OrgUnit “OU=Clients,DC=Test,DC=demo” -AllowedPrincipals “Test\LAPS_ClientAdmin_W”

Set-AdmPwdReadPasswordPermission -OrgUnit “OU=Server,DC=Test,DC=demo” -AllowedPrincipals “Test\LAPS_ServerAdmin_R”

Set-AdmPwdReadPasswordPermission -OrgUnit “OU=Server,DC=Test,DC=demo” -AllowedPrincipals “Test\LAPS_ServerAdmin_W”

Wichtig:
Da es sich hier um ein sehr sensibles Passwort handelt, ist peinlichst genau darauf zu achten, die Berechtigungen korrekt zu vergeben. Sofern die Konfiguration diesem Muster hier entspricht, haben lediglich Mitglieder der o.g. Gruppen zugriff.

3.3 Berechtigungen zum zurücksetzen eines Client-Passworts

Um User-Accounts die Möglichkeit zu geben, Passwörter zurückzusetzen, benötigen diese entsprechende Schreibrechte auf dem Attribut der Passwort Ablaufzeit. Dazu verwenden wir die folgenden Befehle.

Set-AdmPwdResetPasswordPermission -OrgUnit “OU=Clients,DC=Test,DC=demo” -AllowedPrincipals “Test\LAPS_ClientAdmin_W”

Set-AdmPwdResetPasswordPermission -OrgUnit “OU=Server,DC=Test,DC=demo” -AllowedPrincipals “Test\LAPS_ServerAdmin_W”

3.4 Logging/Auditing

Damit wir nachvollziehen können, wann und von wem ein Passwort ausgelesen wurde, müssen wir noch das Logging/Auditing aktivieren. Diese geschieht ebenfalls per Powershell und dem folgenden Befehl.

Set-AdmPwdAuditing -OrgUnit “OU=Clients,DC=Test,DC=demo” -AuditedPrincipals “Test\LAPS_ClientAdmin_R”

Set-AdmPwdAuditing -OrgUnit “OU=Clients,DC=Test,DC=demo” -AuditedPrincipals “Test\LAPS_ClientAdmin_W”

Set-AdmPwdAuditing -OrgUnit “OU=Server,DC=Test,DC=demo” -AuditedPrincipals “Test\LAPS_ServerAdmin_R”

Set-AdmPwdAuditing -OrgUnit “OU=Server,DC=Test,DC=demo” -AuditedPrincipals “Test\LAPS_ServerAdmin_W”

Sobald ein Passwort ausgelesen wurde, wird im Security Log des Domain Controllers das Event mit der ID 4662 erzeugt.

5.1 Auslesen der Passwörter per LAPS UI

Das MSI Installationspaket von LAPS enthält ebenfalls ein UI, welche separat installiert werden kann. Im MSI Paket ist hierzu die Option “Fat client UI” auszuwählen:

Die Installation sollte ausschließlich auf administrativen Workstations/Servern ausgeführt werden. Alternativ kann die UI auch in einem Netzwerk-Share abgelegt werden. Hier sind entsprechend Zugriffsrechte zu beachten.

Sobald die UI installiert ist, kann darüber das Passwort, sowie dessen Ablaufdatum ausgelesen werden. Die UI hierzu ist selbsterklärend.

Ebenfalls kann über die UI das Ablaufdatum des aktuellen Passworts manuell gesetzt werden.