Am 1. Mai 2015 hat Microsoft das Local Administrator Password Management veröffentlicht, mit dem lokale Administrator-Passwörter einfach verwaltet werden können. Dafür werden in AD DS zwei Attribute hinzugefügt:

• ms-MCS-AdmPwd
• ms-MCS-AdmPwdExpirationTime

Diese speichern das Passwort und das Ablaufdatum des Passwortes. Ist das Ablaufdatum erreicht, wird beim nächsten Gruppenrichtlinien-Update am Client das Passwort erneuert. Für die Verwaltung gibt es einen Client (LAPS UI) und ein eigenes PowerShell-Modul. Am Client selbst wird eine Client Side Extension (CSE) für die Gruppenrichtlinien installiert.

Gruppenrichtlinien-Vorlagen und das PowerShell-Modul installieren

1. Als Administrator an DC1 anmelden
2. Folgende Dateien von Microsoft security advisory: Local Administrator Password Solution (LAPS) now available: May 1, 2015 nach C:\Sourcen herunterladen
   1. LAPS.x86.msi
   2. LAPS.x64.msi
   3. LAPS_Datasheet.docx
   4. LAPS_OperationsGuide.docx
   5. LAPS_TechnicalSpecification.docx
3. LAPS.x64.msi doppelklicken
4. Local Administrator Password Solution Setup
   1. Welcome… > Next
   2. License Agreement > Accept > Next
   3. Custom Setup
      1. PowerShell module
      2. GPO Editor templates > Next
         
   4. Ready to install > Install
   5. Complete > Finish
5. Zum Ordner C:\Windows\PolicyDefinitions wechseln
6. Folgende Dateien nach \\intern\SYSVOL\intern.einfaches-netzwerk.at\Policies\PolicyDefinitions kopieren
   1. AdmPwd.admx
   2. en-US\AdmPwd.adml
      
7. Alle Fenster schließen

Sicherheitsgruppe in AD erstellen und Berechtigungen konfigurieren

1. Server Manager > Tools > Active Directory Users and Computers (ADUC)
2. intern.einfaches-netzwerk.at/Einfaches-Netzwerk/Sicherheitsgruppen erweitern
3. Folgende Sicherheitsgruppe erstellen
   1. PwdAdmins
4. USER1 zur Gruppe PwdAdmins hinzufügen
   
5. Fenster minimieren, nicht schließen
6. PowerShell (Admin) starten
7. Mit folgendem Befehl das PowerShell-Modul für das Local Administrator Password Management importieren

   Import-Module AdmPwd.PS

8. Mit folgendem Befehl das Active Directory-Schema erweitern

   Update-AdmPwdADSchema

9. PowerShell
   
10. Mit folgendem Befehl die Benutzer und Gruppen mit erweiterten Rechten auf die OU Arbeitsstationen ermitteln

    Find-AdmPwdExtendedRights -Identity Arbeitsstationen

11. Der Benutzer INTERN\osd_join hat erweiterte Rechte
    
12. Die ADUC-Konsole wiederherstellen
13. Die OU Arbeitsstationen rechts anklicken > Properties
14. Auf den Reiter Security wechseln > Advanced
15. OSD_Join markieren > Edit
    
16. Permission Entry for Arbeitsstationen
    1. Applies to: This object and all descendant objects
    2. All extended rights deaktivieren
17. Alle Fenster mit OK schließen
18. PowerShell (Admin) wiederherstellen
19. Das Cmdlet von vorhin wiederholen
    
20. Passt 🙂
21. Mit folgendem Befehl die Computer-Konten berechtigen

    Set-AdmPwdComputerSelfPermission -OrgUnit Arbeitsstationen

22. Mit folgenden Befehlen die Sicherheitsgruppen berechtigen

    Set-AdmPwdReadPasswordPermission -Orgunit Arbeitsstationen -AllowedPrincipals Administrators,ServiceDesk,PwdAdmins
    Set-AdmPwdResetPasswordPermission -Orgunit Arbeitsstationen -AllowedPrincipals Administrators,ServiceDesk,PwdAdmins

23. PowerShell
    
24. Zur Kontrolle das Computer-Konto von CLIENT1 rechts anklicken > Properties
25. Auf den Reiter Attribute Editor wechseln
    
26. Alle Fenster schließen

Gruppenrichtlinien für das Local Administrator Password Management erstellen

1. Server Manager > Tools > Group Policy Management
2. Folgendes Gruppenrichtlinienobjekt erstellen
   1.  Local Administrator Password Management
3. Zum Bearbeiten öffnen
4. Computer Configuration\Policies\Administrative Templates\LAPS erweitern
   
5. Folgende Einstellungen konfigurieren
   1. Do not allow password expiration time longer than required by policy > Enabled
   2. Enable local admin password management > Enabled
   3. Password Settings > Enabled
      
   4. Die Richtinie Name of administrator account to manange muss nur konfiguriert werden, wenn nicht der Standard-Administrator mit der bekannten well-known SID verwendet wird. Auch nicht, wenn dieser nur umbenannt worden ist!
6. Computer Configuration\Preferences\Windows Settings erweitern
7. Registry rechts anklicken > New > Registry Item
8. Folgendes Element hinzufügen
   1. Reiter General
      1. Action: Replace
      2. Hive: HKEY_LOCAL_MACHINE
      3. Key Path: SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{D76B9641-3288-4F75-942D-087DE603E3EA}
      4. Value name: ExtensionDebugLevel
      5. Value data: 00000002 (logged testweise alles mit, besser 0 oder 1)
         
   2. Reiter Common
      1. Remove this item when it is no longer applied aktivieren
         
9. Fenster mit OK schließen
10. Das neue GPO markieren
11. Im rechten Bereich am Reiter Details die Benutzereinstellungen deaktivieren
    
12. Auf die OU Arbeitsstationen verknüpfen
    
13. Alle Fenster schließen

Die Clients konfigurieren

1. Als Administrator an CLIENT1 anmelden
2. Die Datei LAPS.x64.msi doppelklicken
3. Folgende Komponenten installieren
   1. AdmPwd GPO Extension
   2. Management Tools\Fat client UI
      
4. Local Administrator Password Solution in der Systemsteuerung
   
5. Command Prompt starten
6. Mit folgendem Befehl die Gruppenrichtlinien aktualisieren

   gpupdate /force

7. Kontrolle: ADUC > CLIENT1
   
8. Start > Suche: LAPS
   
9. LAPS UI
   1. Computer Name: CLIENT1 > Search
      
   2. Das Passwort mit Set sofort ändern > Exit
      
10. Wenn CLIENT1 das nächste Mal seine Gruppenrichtlinien aktualisiert, wird das Passwort geändert
    
11. Das Ereignisprotokoll System
    1. Vor der Änderung
       
    2. Nach der Änderung
       
       

Microsoft hat mit einem Sicherheitsupdate die Möglichkeit Passwörter mittels Group Policy Preferences zu ändern deaktiviert (die Passwörter standen im Klartext in den xml-Dateien). Das neue Werkzeug ist einfach zu implementieren und zu verwalten.

Die CSE kann mittels MDT beim Aufsetzen installiert oder gleich ins Golden Image gepackt werden. Wenn man die Datei %ProgramFiles%\LAPS\CSE\AdmPwd.dll von einer bestehenden Installation kopiert, kann die Client Side Extension mit folgendem Befehl installiert werden:

regsvr32 %ProgramFiles%\LAPS\CSE\AdmPwd.dll

Dann ist der Eintrag in der Systemsteuerung nicht vorhanden, was ich persönlich besser finde.

Schöne Sache, gefällt mir! 🙂