AD 域环镜本地管理员密码解决方案(LAPS)部署

news2025/1/16 18:48:50

前言：

我们知道window10装好后，默认本地管理员账号Administrator是关闭的，通过组策略启用本地管理员账号没有问题，具体方法在下面，但是由于微软《MS14-025：组策略首选项中的漏洞可能允许特权提升：2014 年 5 月 13 日 - Microsoft 支持》中组策略漏洞的公告后，通过组策略修改密码就不能用了。

1、启用本地管理员账号

2、修改密码和确认密码功能变成灰色，不能使用 !

LAPS介绍

LAPS允许您在加入域的情况下管理本地管理员密码（随机，唯一且定期更改）电脑。这些密码集中存储在Active Directory中，并且仅限使用ACL的授权用户使用。

这个功能实现的是让加域的客户端本地administrator账号密码随机化（每一台都不一样的复杂随机密码），并且随机化密码存储在AD上可以查询到，避免攻击者猜出一台就等于猜出一片，从客户端到服务器的传输过程采用Kerberos v5和AES保护。

官方下载地址：Download Local Administrator Password Solution (LAPS) from Official Microsoft Download Center

安装

1、在域控上安装LAPS.x64，点击下一步安装，第一项不用安装

2、安装完成后，通过PowerShell加载LAPS模块，扩展AD架构

# 导入 LAPS 模块
PS C:\Users\Administrator> Import-Module AdmPwd.PS


# 返回 Success 表示成功
PS C:\Users\Administrator> Update-AdmPwdADSchema

Operation            DistinguishedName                                                 Status
---------            -----------------                                                 ------
AddSchemaAttribute   cn=ms-Mcs-AdmPwdExpirationTime,CN=Schema,CN=Configuration,DC=m... Success
AddSchemaAttribute   cn=ms-Mcs-AdmPwd,CN=Schema,CN=Configuration,DC=msh,DC=local       Success
ModifySchemaClass    cn=computer,CN=Schema,CN=Configuration,DC=msh,DC=local            Success

3、查看本地域环境的架构

（1）本地2台电脑目前是在 Workstation 这个 OU 下面

（2）我们通过打开 ADSI Edit 验证此架构扩展的结果，在属性列表中，我们应该有两个新条目：ms-Mcs-AdmPwd（密码为明文）和ms-Mcs-AdmPwdExpirationTime（密码到期时）

（3）接着设置这个OU权限，以便里面的所有计算机有权限写入密码

Set-AdmPwdComputerSelfPermission -OrgUnit Workstation

（4）你也可以通过下面命令查看哪些用户和组有权限进行查看

Find-AdmPwdExtendedRights -Identity "Workstation"

# 默认 Domain Admins 是有权限的
PS C:\Users\Administrator> Find-AdmPwdExtendedRights -Identity "Workstation"

ObjectDN                                      ExtendedRightHolders
--------                                      --------------------
OU=Workstation,OU=SHA,DC=msh,DC=local         {NT AUTHORITY\SYSTEM, MSH\Domain Admins}

（5）你可以指定哪些用户或组有权限

Set-AdmPwdResetPasswordPermission -OrgUnit Workstation -AllowedPrincipals 用户或组

4、创建GPO

在 Workstation 这个 OU 下面创建 LAPS

（1）进入到计算机配置>策略>管理模板>LAPS

（2）设置本地管理员密码规则

（3）启用本地管理员密码管理

（5）进入到计算机配置>策略>软件设置>软件安装，为客户端安装LAPS，安装包就是上面下载的。部署方法选择 "已分配"，让客户端开机自动安装，具体这程这里不做详解

5、客户端生效后，我们查看已成功安装

6、如何查看密码

（1）通过 PowerShell

# 通过电脑名查看
PS C:\Users\Administrator> Get-AdmPwdPassword -ComputerName lishi-pc

ComputerName         DistinguishedName                             Password           ExpirationTimestamp
------------         -----------------                             --------           -------------------
LISHI-PC             CN=LISHI-PC,OU=Workstation,OU=SHA,DC=msh,D... /Ro}d8q3           6/7/2023 9:57:04 AM

（2）通过 LAPS UI