Windows LAPS

Windows LAPS : Windows Local Yönetici Parola Çözümü (Windows LAPS), Microsoft Entra’ya katılmış veya Windows Server Active Directory’ye katılmış cihazlarınızdaki yerel yönetici hesabının parolasını otomatik olarak yöneten ve yedekleyen bir Windows özelliğidir. Ayrıca Windows LAPS’i kullanarak Windows Server Active Directory etki alanı denetleyicilerinizdeki Dizin Hizmetleri Geri Yükleme Modu (DSRM) hesap parolasını otomatik olarak yönetebilir ve yedekleyebilirsiniz. Yetkili bir yönetici DSRM parolasını alabilir ve kullanabilir. Windows LAPS üzerindeki özelliklerin çoğunu eski Microsoft LAPS’ dan almıştır yani eski LAPS kullanıyorsanız yenisinede aşinasınız olarak düşünebiliriz. Windows LAPS özelliği desteklenen tüm Windows platformlarında ücretsiz olarak sunulmaktadır. Microsoft, eski LAPS’den Windows LAPS’e geçişi öneriyor, ancak Microsoft LAPS ve Windows LAPS ın uzun süre bir arada çalıştırılmasını önerdiğini söyleyemem yani uzun vadeli kullanmak için Windows LAPS a geçmek gerekiyor. Geçiş yapmak istiyorsanız da 2 seçeneğiniz mevcut yan yana kullanım veya direk geçiş yapabilirsiniz. Bu durumda dikkat etmeniz gereken nokta ise eski ve yeni LAPS bir arada olacak ise yeni LAPS yapılandırırken 2. Bir yönetici hesabını hedeflemeniz olacaktır. Eğer direk geçiş yapacaksanızda önerilen aynı yönetici hesabını hedeflemeniz yönünde.

Desteklenen Sürümler :

• Windows 11 22H2 – April 11 2023 Update
• Windows 11 21H2 – April 11 2023 Update
• Windows 10 – April 11 2023 Update
• Windows Server 2022 – April 11 2023 Update
• Windows Server 2019 – April 11 2023 Update

Yukarıda belirttiğim önbilgilerden sonra WindowsLAPS kurulumuna göz atabiliriz daha detaylı bilgi için Microsofun kendi sitesini ziyaret edebilirsiniz.

Kurulum Adımları :

• Domain functional level seviyeniz 2016 ve üzerinde olması gerekiyor.
• Öncelikle DC sunucularınızın tamamında Windows updateleri geçiyoruz.
• Schema genişletilmesi sırasında hata almamak adına DC ler üzerinde healthchech yaparak devam edebilirsiniz.
• Windows LAPS için Microsoft LAPS ta olduğu gibi yönetim sunucusuna kuracağım agentı bulunmuyor, Server 2019 ve üzeri sistemlere entegre olarak geliyor.
• Update-LapsADSchema komutunu çalıştırarak schemayı genişletiyoruz. Komutun ne işe yaradığına dair bilgi almak için -verbose parametresini kullanabilirsiniz. Yes to All ile devam ediyoruz.

• • Komuttan sonra AD objemde LAPS sekmesinin oluştuğunu görebiliyorum aynı zamanda Attributelerde eklenmiş görünüyor.

• Set-LapsADComputerSelfPermission -Identity <OU name> komutu ile bilgisayarlarıma parolalarını yönetme hakkı veriyorum. Benim uygulayacağım bilgisayarlarım “ClientPC” isimli OU altında siz kendi ortamınıza göre OU adı belirtebilirsiniz. OU adı ile hata almanız durumunda DN olarak yazabilirsiniz ben örnekte DN bilgilerini yazdım.

• Find-LapsADExtendedRights -Identity “OU=ClientPC,DC=isleyen,DC=info,DC=local” komutu ile genişletilmiş yetkilerin kimlerde olduğunu görebiliriz.

• Set-LapsADReadPasswordPermission -Identity “OU=ClientPC,DC=isleyen,DC=info,DC=local” -AllowedPrincipals @(“isleyen.info.local\gkn”) komutu ile LAPS üzerinde sorgulama yapabilmesi için belirli bir user için yetki tanımlayabiliriz.

Şimdi Policy tarafına geçelim.

• Bilgisayarlarımın bulunduğu OU için bir policy oluşturup editledikten sonra “Computer configuration-Policies-Administrative Templates-System-LAPS” yolunu takip ediyorum.

• Enable Password Backup for DSRM accounts: Enable
  Configure Password Backup Directory: Active Directory
  Password settings ve diğer policyleri ortamınıza uygun olarak değiştirebilirsiniz ben test için bu şekilde bırakıyorum.

Yapılandırma işlemlerim tamamlandı. Eski LAPS için gerekli olan agent kurulum işlemlerimde Windows LAPS için gerek bulunmuyor. Şimdi parolaları nasıl görüntüleyebileceğimize bakalım.

• AD objemin özelliklerine geldiğimde LAPS sekmesi üzerinden görüntüleyebilir veya Get-LapsADPassword “cl1” -AsPlainText komutu ile powershell üzerinden görüntüleyebiliriz.

Son olarak artık LAPS updatelerini Microsoft Windows update ile gönderecek.Umarım işinize yarar bir yazı olmuştur, görüşmek üzere.