Lokale Administrator-Benutzer in Netzwerken steuern und verwalten So arbeiten Sie mit LAPS

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Keeper Security EMEA Ltd.

Mit dem kostenlosen Tool Local Administrator Password Solution (LAPS) können Administratoren ihre lokalen Konten und Accounts in lokalen Netzwerken wesentlich effizienter konfigurieren und überwachen. Im Bereich der Datensicherheit spielen nicht nur Domänenkonten eine wichtige Rolle, sondern auch die Administratoren lokaler Server.

Die Lösung wird vor allem in Active Directory-Umgebungen eingesetzt um lokale Server besser abzusichern. Die Software unterstützt Windows Vista bis Windows 10 und Windows Server 2003 bis Windows Server 2012 R2.

Damit Unternehmen das Produkt einsetzen können, ist eine Erweiterung des Active-Directory-Schemas notwendig. Durch diese Erweiterung werden die beiden neuen Attribute "ms-Mcs-AdmPwd" und "ms-Mcs-AdmPwdExpirationTime" in das Active Directory integriert. In den Werten speichert Active Directory das lokale Administrator-Kennwort des entsprechenden Clients und dessen Ablauf.

De eigentliche Absicherung der lokalen Administrator-Konten erfolgt über Gruppenrichtlinien, die zentral alle lokalen Benutzerkonten steuern. Wir zeigen die Einrichtung des Dienstes in der Bildergalerie zu diesem Artikel.

Bildergalerie

Bildergalerie mit 10 Bildern

Local Administrator Password Solution installieren und einrichten

Die Installation des Dienstes besteht aus der Installation und Konfiguration des Verwaltungs-Servers, der die lokalen Administrator-Konten verwaltet, der Konfiguration der entsprechenden Richtlinien und schließlich die Client-Computer-Server selbst. Generell sollten auf dem Verwaltungsserver alle zur Verfügung stehenden Optionen des Assistenten installiert werden.

Auf den Client-Computern wird ebenfalls die Erweiterung aus der Datei laps.x64.msi installiert. Hier wird jedoch lediglich die Option "AdmPwd GPO Extension" installiert. Die Verteilung des Agenten kann über lokale Installationen, Anmeldeskripte, System Center Configuration Manager, oder mit Skripten erfolgen. Auf 32-Bit-Clients muss natürlich die 32-Bit-Version des Clients installiert werden. Die Installation ohne Benutzereingabe kann über folgende Befehle erfolgen:

• msiexec /i <Pfad>\LAPS.x64.msi /quiet

• msiexec /i <Pfad>\LAPS.x86.msi /quiet

Alternativ können Administratoren die Datei AdmPwd.dll des Clients auf die Clientcomputer kopieren und danach im System registrieren. Dazu wird der Befehl "regsvr32.exe AdmPwd.dll" verwendet. In diesem Fall erscheint das Tool aber nicht in der Systemsteuerung bei den installierten Programmen.

Neben den Möglichkeiten, die wir in diesem Beitrag zeigen, kann LAPS auch die Zugriffsrechte für Administratorkonten und deren Pflege verwalten. Die Vorgehensweise dazu ist in der Anleitung zu finden, die dem Tool beiliegt. Vor einem produktiven Einsatz sollten die Rechte in Active Directory an die eigenen Bedürfnisse angepasst werden.

Bildergalerie

Bildergalerie mit 10 Bildern

(ID:43485358)