Diagnostica

Su un DC avviare Powershell (as Administrator : è importante o i comandi non restituiranno la password).
Richiamare il seguente modulo : Import-Module AdmPwd.PS

Per sapere a “quali computer” è stato popolato il campo : mc-Mcs-AdmPwd :
utilizzare il comando : Get-ADComputer -LDAPFilter ‘(ms-mcs-admpwd=*)’

Per vedere tutte le password in tutti i COMPUTER di AD :
Get-ADComputer -Filter {enabled -eq $True} -Properties Name, OperatingSystem, ms-Mcs-AdmPwd | Sort-Object -Property ms-Mcs-AdmPwd | FT Name, OperatingSystem, ms-Mcs-AdmPwd

Per farsi dare la password di un singolo :
Import-Module AdmPwd.PS
Get-AdmPwdPassword -ComputerName srvsonde1

Per forzare il cambio password di un singolo :
Import-Module AdmPwd.PS
Reset-AdmPwdPassword -ComputerName srvsonde1

Se a quacuno sta “sulle scatole” usare Powershell c’è un utility visiva chiamata Laps UI ( AdmPwd.UI.exe > C:\Program Files\LAPS)
ma anche questa deve essere eseguita come administrator.

Script che riporta tutte le password in un CSV:

$array = New-Object System.Collections.arraylist
$computers = Get-AdComputer -filter ‘enabled -eq $true’
foreach ($computer in $computers)

{
$results = Get-Admpwdpassword -computername $computer
 $array.add([PSCUSTOMOBJECT]@{
 “Computername” = $computer.name
“DN” = $results.distinguishedname
“Password” = $results.password
“Expiration” = $results.expiration}) | Out-null
}

$array | Export-csv -notypeinformation C:\Laps_Command\results.csv -delimiter “`t”

Laps, Microsoft Laps, gestione password Laps, Deploy Laps, Deploy Microsoft Laps, Install Microsoft Laps

GUIDA INSTALLAZIONE – fase 2) IMPOSTAZIONI ACTIVE DIRECTORY :

A questo punto dobbiamo impostare (modificare) AD per la impostazioni di LAPS.
In powershell (sul DC) questi due comandi preparano la struttura AD, aggiungendo alcuni campi nelle proprietà degli oggetti COMPUTER :

Import-Module AdmPwd.PS
Update-AdmPwdADSchema

La risposta deve essere “success”:

Abilitare i computer del dominio per fare in modo che possano gestire la propria password in autonomia.
Per farlo gli diamo una “GRANT” di permessi con questo comando :

Set-AdmPwdComputerSelfPermission -OrgUnit “OU Server Microsoft”
esempio con OU più “annidate”:
Set-AdmPwdComputerSelfPermission -OrgUnit “OU=mia,OU=LAPS Lab,DC=ADShotGyan,DC=com”

è necessaria anche la GRANT per il reset delle password

Set-AdmPwdResetPasswordPermission -OrgUnit “OU=LAPS Lab,DC=ADShotGyan,DC=com”

A questo punto possiamo decider la nostra policy.
ATTENZIONE : se viene specificato un nome nella voce “Name of Administrator account to manage” , Laps cercherà di modificare quello e non Administrator!
Ci vogliono 2 policy diverse in caso di amministratori con nomi diversi. Una policy (per nome) gestisce solo quell’amministratore

Vedere Anche : Comandi e Diagnostica

Laps, Microsoft Laps, gestione password Laps, Deploy Laps, Deploy Microsoft Laps, Install Microsoft Laps

LAPS consente di gestire una password randomica per amministratore locale differente su ogni computer gestita localmente senza necessità di un generatore centralizzato di password.
Tramite LAPS è possibile gestire, tramite una GPO client-side extension (CSE),:

• il nome del local administrator account
• il periodo di rinnovo e la lunghezza e complessità della password
• rende disponibile una serie di cmdlet PowerShell per una gestione automatizzata.

Note IMPORTANTI di funzionamento:

• • LAPS gestisce solo le password. Laps non blocca e non “sblocca” utenze (quindi non sblocca l’Administrator “inerte” di Windows 7 o Windows10)
  • LAPS deve essere installato sul Domain Controller.
    Se non viene fatto ci sarà un problema con un file Template delle policy che dovrà essere riportato nelle cartelle SYSVOL per la sincronizzazione e, se non fatto, la policy (da settare) non appare.
  • LAPS deve essere installato con un utente che abbia il ruolo di “Schema Admins” perché deve effettuare delle modifiche nello schema AD (Update–AdmPwdADSchema)
  • I membri di “Domain Admins” sono abilitati di Default a visionare le password e non gli può essere tolto il privilegio senza togliere il ruolo. Se il ruolo deve essere dato anche ad altri è possibile definire un gruppo di persone o una OU che possa accedere all’attributo password
  • Le password sono IN CHIARO nelle proprietà AD
    
  •  

Questi sono i CAMPI che verranno aggiunti all’account COMPUTER per la gestione delle password:

GUIDA INSTALLAZIONE – fase 1) DEPLOY:
Scaricare e installare il componente con installazione standard.
Download componente : https://www.microsoft.com/en-us/download/details.aspx?id=46899

Creare, sul server, una cartella condivisa (la chiameremo laps$).
Deve essere accessibile al gruppo “Domain Computer” sia come permessi di condivisione, sia come NTFS.
Mettere in questa cartella gli .Exe scaricati con cui abbiamo installato LAPS.
Questa condivisione deve essere raggiunta dalle macchine che dovranno installare (su se stesse) il componente LAPS che verrà prelevato da questa share.

Creare una policy (a dominio o su una specifica OU) per il DEPLOY del pacchetto.
Possiamo chiamare questa policy “Deploy-LAPS”.
Deve essere impostata sotto : Computer > Policy > Software Settings

New > Package

Indicare il file .exe nella forma seguente: \\condivisione\….
Deve essere un percorso che la vm di destinazione possa raggiungere.

Nel Deploy METHODS selezionare “Advanced”

Impostare le proprietà in questo modo:

Nella scheda “security” riportare nuovamente “Domain Computers”

La stessa procedura deve essere fatta anche per il pacchetto a 32bit ma quando viene creato il pacchetto assicurarsi di modificarlo per deselezionare l’opzione” Rendi questa applicazione X86 a 32 bit disponibile per i computer Win64”. (va rimossa).
Troverai questa opzione quando fai clic con il pulsante destro del mouse sul pacchetto x86> Proprietà> Distribuzione. Ciò garantirà che i computer a 64 bit ottengano la DLL a 64 bit e che i computer a 32 bit ottengano la DLL a 32 bit.

Se le impostazioni sono state fatte correttamente, dopo un po’ di tempo, nelle macchine TARGET apparirà LAPS come applicazione installata

Prosegui su : Installazione e Configurazione LAPS per la gestione delle Password – Fase 2

Laps, Microsoft Laps, gestione password Laps, Deploy Laps, Deploy Microsoft Laps, Install Microsoft Laps