راه‌اندازی Windows LAPS؛ رمز یکتا و خودکار برای مدیر محلی

در بسیاری از شرکت‌ها، رایانه‌ها از روی یک ایمیج نصب شده‌اند و رمز حساب مدیر محلی (Local Administrator) روی همه یکی است؛ رمزی که سال‌ها عوض نشده و چند کارمند سابق فناوری اطلاعات هم آن را می‌دانند. مهاجمی که این رمز را از یک رایانه به دست بیاورد، می‌تواند در کل شبکه جابه‌جا شود.

Windows LAPS چیست؟

LAPS (Local Administrator Password Solution) رمز حساب مدیر محلی هر رایانه را خودکار، تصادفی و یکتا تنظیم می‌کند، آن را در دوره‌های مشخص عوض می‌کند و در Active Directory یا Microsoft Entra ID نگه می‌دارد. فقط افراد مجاز می‌توانند رمز را بخوانند.

• Windows LAPS: نسخه جدید که در ویندوز ۱۰ و ۱۱ و ویندوز سرور ۲۰۱۹ و جدیدتر، به شرط نصب به‌روزرسانی‌های اخیر، به‌صورت داخلی وجود دارد و نرم‌افزار جداگانه‌ای نمی‌خواهد.
• Legacy LAPS: ابزار قدیمی‌تر که به‌صورت یک بسته نصبی جدا روی رایانه‌ها نصب می‌شد. Windows LAPS جایگزین آن است و امکانات بیشتری مثل رمزگذاری رمزها و نگهداری تاریخچه رمز دارد.

Legacy LAPS و Windows LAPS را هم‌زمان برای مدیریت یک حساب روی یک رایانه به کار نبرید. اگر Legacy LAPS دارید، مهاجرت را برنامه‌ریزی‌شده و OU به OU انجام دهید.

پیش‌نیازها

• رایانه‌ها و سرورهای هدف، نسخه پشتیبانی‌شده ویندوز با به‌روزرسانی‌های اخیر داشته باشند.
• برای گسترش Schema دامین، یک‌بار به دسترسی Schema Admins نیاز دارید.
• برای رمزگذاری رمزها در Active Directory، سطح عملکرد دامین باید ویندوز سرور ۲۰۱۶ یا بالاتر باشد.

راه‌اندازی در Active Directory

1. ماژول PowerShell مربوط به LAPS روی سیستم‌های به‌روز وجود دارد. Schema را با دستور Update-LapsADSchema گسترش دهید.
2. به رایانه‌های OU هدف اجازه دهید رمز خودشان را در AD بنویسند: Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=example,DC=local"
3. به گروه پشتیبانی اجازه خواندن رمزها را بدهید: Set-LapsADReadPasswordPermission -Identity "OU=Workstations,DC=example,DC=local" -AllowedPrincipals "EXAMPLEIT-Helpdesk"
4. یک GPO برای همان OU بسازید و تنظیمات را در مسیر Computer Configuration > Administrative Templates > System > LAPS انجام دهید.

تنظیمات مهم GPO

• Configure password backup directory: مقصد ذخیره رمز را Active Directory انتخاب کنید؛ بدون این تنظیم، LAPS رمز را در جایی ذخیره نمی‌کند.
• Password Settings: پیچیدگی، طول و حداکثر عمر رمز؛ رمز طولانی و عمر محدود انتخاب کنید.
• Name of administrator account to manage: اگر به‌جای حساب Administrator پیش‌فرض، از حساب مدیر محلی دیگری استفاده می‌کنید، نامش را این‌جا وارد کنید.
• Enable password encryption: رمزها به‌صورت رمزگذاری‌شده در AD ذخیره شوند.
• Post-authentication actions: پس از استفاده از رمز، بعد از مدت مشخصی رمز عوض شود و در صورت تنظیم، نشست کاربر هم بسته شود.

Windows LAPS می‌تواند روی کنترلرهای دامین از رمز DSRM هم نسخه بگیرد؛ رمزی که در روز بحران و بازیابی دامین به آن نیاز پیدا می‌کنید.

استفاده روزمره و عیب‌یابی

• برای دیدن رمز یک رایانه: Get-LapsADPassword -Identity PC-ACC-01 -AsPlainText؛ در کنسول Active Directory Users and Computers هم تب LAPS به ویژگی‌های رایانه اضافه می‌شود.
• برای عوض کردن فوری رمز روی خود رایانه، دستور Reset-LapsPassword را اجرا کنید.
• رویدادهای LAPS در Event Viewer و در مسیر Applications and Services Logs > Microsoft > Windows > LAPS ثبت می‌شوند؛ اولین جای عیب‌یابی همین است.
• پس از اعمال GPO، با gpupdate /force و بررسی همین رویدادها مطمئن شوید رمز در AD ذخیره شده است.

چک‌لیست

• Schema گسترش یافته و مجوزهای نوشتن و خواندن روی OU تنظیم شده است.
• GPO با مقصد Active Directory و تنظیمات رمز اعمال شده است.
• فقط گروه مشخصی اجازه خواندن رمزها را دارد.
• رمزگذاری رمزها فعال است.
• Legacy LAPS و Windows LAPS هم‌زمان یک حساب را مدیریت نمی‌کنند.
• ذخیره رمز روی چند رایانه نمونه بررسی شده است.

کارشناسان ITPlus724 می‌توانند Windows LAPS را در دامین شما راه‌اندازی کنند، از Legacy LAPS به آن مهاجرت دهند و دسترسی خواندن رمزها را دقیق تعریف کنند.