当前位置：首页 > news >正文

本地管理员密码解决方案 Local Admin Password Solution (LAPS)

news 来源：原创 2024/4/29 9:09:35

据调查，大多数的企业在部署AD域后，针对客户端电脑的本机管理员采用以下几种方式管理方式：

1. 禁用本机管理员，只使用域账登录；但存在的问题是：当电脑因故障脱离域，或是无法使用域账号登录时，电脑就无法登录，需要借助PE等工具启用本机管理员并设置密码。

2. 由IT人员在系统部署时设置一个统一的本机管理员密码（或是用GPO统一设置）；但存在的问题是：如果密码一旦泄露或是被猜出，***、病毒将能取得电脑控制权，进行大规模的破坏，而且不能按要求定期修改。

3. 同方法2，但是分区域、分部门、或是分OU等，设置多个不同的管理员密码

4. 每台电脑设置一个不同的管理员密码，由IT人员记录在Excel或是笔记本上；但存在的问题是：每次要找某台电脑的管理员密码时，要去找文件或是记录，而且也不能定时修改！

针对以上问题，微软已经给我们提供了一个解决方案：本地管理员密码解决方案(LAPS),最近一个更新版本为2015/5/1，官方下载地址:

https://www.microsoft.com/en-us/download/details.aspx?id=46899；里面包含所需的安装程序及英文的原始技术文档。

此方案是将本地管理员密码存储在LDAP上，作为计算机账户的一个机密属性，配合GPO，实现自动定期修改密码、设置密码长度、强度等，然后配置某些指的账号，能查看存储的密码，如果用户需要，可以用PowerShell或指的工具查询密码，但对非授权用户，确无法获取，从而实现本机管理员的自动化管理。

LAPS使用两个LDAP属性来存储本地管理员凭证，这两个属性分别是ms-MCS-AdmPwd（存储密码）和ms-MCS-AdmPwdExpirationTime（存储过期时间）。

其实上面的下载地址已经给出了英文的详细安装配置方式，所以我只做一个大概的配置说明，首先下载后主要是需要用到两个MSI文件，LAPS.x86.msi\LAPS.x64.msi，分别是针对32位和64位两种系统，官方给出支持的操作系统包括：

Windows Server 2012 R2 Datacenter

Windows Server 2012 R2 Standard

Windows Server 2012 R2 Essentials

Windows Server 2012 R2 Foundation

Windows 8.1 Enterprise

Windows 8.1 Pro

Windows Server 2012 Datacenter

Windows Server 2012 Standard

Windows Server 2012 Essentials

Windows Server 2012 Foundation

Windows 8 Enterprise

Windows 8 Pro

Windows Server 2008 R2 Service Pack 1

Windows 7 Service Pack 1

Windows Server 2008 Service Pack 2

Windows Vista Service Pack 2

Microsoft Windows Server 2003 Service Pack 2

1 安装

有两个部分的安装、管理端计算机和被管理的客户端。

1.1 管理端计算机

先选一台电脑做为管理端，也可以直接在DC上(我是直接在DC上操作的) ，也可以在某台成员服务器或是客户端电脑，但需要满足以下条件：

- 系统要求:

Windows Vista 当前最近SP 或以上; x86 or x64

Windows 2003 当前最近 SP 或以上; x86 or x64 (不支持Itanium)

- 管理工具:

.NET Framework 4.0

PowerShell 2.0 或以上

双击你的电脑对应的MSI 安装程序，如：LAPS.x64.msi开始。

单击下一步。接受许可协议并单击下一步

对于第一次管理机，您应该启用管理工具的所有安装选择

单击下一步.

单击安装.

单击完成.

1.2 安装被管理的客户端

针对需要管理的客户端电脑，需要安装管理端工具，使用的安装文件与管理端电脑一样，即：AdmPwd.x64.msi和AdmPwd.x86.msi，你可以用手动安装主、组策略、SCCM分发、登录脚本等多种方式来完成。

如果要用脚本来实现静默安装，命令如下：

msiexec /i <file location>\LAPS.x64.msi /quiet

msiexec /i <file location>\LAPS.x86.msi /quiet

你需要依你的环境修改 <file location>为你的网络路径，如:

msiexec /i \\server\share\LAPS.x64.msi /quiet

最简单的安装被管理客户端的方法是直接将AdmPwd.dll复制到目标计算机，并使用下面的命令注册dll文件（注意X86/X64使用的DLL文件不一样）：

regsvr32.exe的AdmPwd.dll

附件LAPS目录为准备好的X86/X64的安装文件和DLL文件:

可以直接用批处理来完成，如我将LAPS目录COPY到NETLOGON目录下，然后用BAT文件来（附件包含此文件）完成，请将目录改为你当前环境的目录

@echo off

If exist %windir%\system32\AdmPwd.dll goto ldpsexit else

if "%PROCESSOR_ARCHITECTURE%"=="x86" goto x86

if "%PROCESSOR_ARCHITECTURE%"=="AMD64" goto x64

exit

:x64

copy \\szmaxcent.com\NETLOGON\LAPS\X64\AdmPwd.DLL %windir%\system32

regsvr32.exe AdmPwd.dll /s

exit

:x86

copy \\szmaxcent.com\NETLOGON\LAPS\X86\AdmPwd.DLL %windir%\system32

regsvr32.exe AdmPwd.dll /s

:ldpsexit

Exit

配置组策略，调用GPO即可：

2 AD准备

2.1 修改架构

活动目录架构需要扩展两个新的属性，用来存储每台电脑的本机管理员密和密码到期时间，

ms-Mcs — — AdmPwd — — 以明文形式存储的密码

ms-Mcs — — AdmPwdExpirationTime — — 存储时间重置密码

在更新架构前，首先需要导入的 PowerShell 模块的架构。用管理员打开PowerShell并使用命令: Import-module AdmPwd.PS

使用此命令更新架构:

Update-AdmPwdADSchema

注意: 如果你有 RODC 安装在环境中，您需要将属性 ms Mcs AdmPwd 的值复制到 RODC，你需要改变searchFlags的第10位属性值的MS-MCS-AdmPwd架构object到0（从当前值substract 512的searchFlags属性）请参阅 http://technet.microsoft.com/en-us/library/cc754794(v=WS.10).aspx

2.2 权限

在Active Directory基础结构通过允许每个属性访问列表（ACL）和执行密码存储保密属性提供了先进的工具来实现这个解决方案的安全模型。有四组的权利需要进行修改。

2.2.1 删除扩展权利

密码存储属于机密内容，如果对电脑所在的OU权限配置不对，可能会使非授权的用户能读取密码，所以从用户和组的权限中删除“All extended rights”属性的权限，不允许读取属性 ms-Mcs-AdmPwd 的值。

如果需要，请对每个放置电脑的OU重复以下操作，如果子OU且你禁用了权限继承，则每个子OU也要做相同的配置。

1. 打开ADSIEdit

2. 在你需要配置的计算机所在OU上点击右键、属性

3. 单击安全选项卡

4. 单击高级

5. 选择不想要能读取密码的组或用户，然后单击编辑。

6. 取消选中所有扩展的权限

重要: 这将删除所有扩展的权利，不仅 CONTROL_ACCESS 权利，因此请确保所有角色将都保留其日常工作所需的所有必要的权限。

要快速查找已经扩展安全权限的OU，可以使用PowerShell命令。前提是你有运行导入模块AdmPwd.PS，在Powershell中输入：

Find-AdmPwdExtendedrights -identity :<OU name> | Format-Table

2.2.2 添加权限

所有计算机帐户自己必要的有写入ms-Mcs-AdmPwdExpirationTime 和 ms-Mcs-AdmPwd属性的权限，是为了让自己可以更新的管理本地管理员密码的密码和过期时间戳。需要用导入了AdmPwd.PS模块的powershell:

Set-AdmPwdComputerSelfPermission -OrgUnit <name of the OU to delegate permissions>

针所有需要的OU重复以上步骤，包括禁止权限继承的子OU。

2.2.3 添加用户权限

将允许读取本机管理员密码权限的用户和组添加CONTROL_ACCESS (extended right) ms-Mcs-AdmPwd 属性，使指的用户和组可以查看到密码。

Set-AdmPwdReadPasswordPermission -OrgUnit <name of the OU to delegate permissions> -AllowedPrincipals <users or groups>

与前面命令中相同的OU名

注意: 你可以在同一命令中使用多个组和用户，中间用逗号分开，示例:
Set-AdmPwdReadPasswordPermission -OrgUnit Servers -AllowedPrincipals contoso\Administrator,contoso\HelpDesk,contoso\PwdAdmins

将允许写入本机管理员密码权限的用户和组添加ms-Mcs-AdmPwdExpirationTime 属性，使指定的用户和组有重设置管理员密码的权限。

Set-AdmPwdResetPasswordPermission -OrgUnit <name of the OU to delegate permissions> -AllowedPrincipals <users or groups>

与前面命令中相同的OU名

注意: 你可以在同一命令中使用多个组和用户，中间用逗号分开，示例:
Set-AdmPwdResetPasswordPermission -OrgUnit Servers -AllowedPrincipals contoso\Administrator,contoso\HelpDesk,contoso\PwdAdmins

3 配置组策略

3.1 更改组策略设置

针对需要启用本机管理员密码的客户端所在OU，配置组策略，