LAPS Nedir-Nasıl Kurulur ?

LAPS için kısaca ortamınızdaki cihazların local admin hesaplarını merkezi olarak yönetmeye yarayan araçtır diyebiliriz.

Uygulamaya Buradan erişim sağlayabilirsiniz,

Kuruluma geçmeden önce hem yönetim sunucusu hemde client tarafında LAPS için yükleme yapacağımızı belirtmek isterim. Ayrıca burda belirtilen işlemler LAPS ın eski sürümüyle ilgilidir.

Kurulum işlemine başlıyorum. LAPS’ ın domain controller üzerine kurulmasında Microsoft tarafından belirtilen bir sakınca olmadığını belirtmek isterim bende kurulumu DC üzerine yapacağım.

Next ile devam ettikten sonra son kullanıcı sözleşmesini Kabul ediyoruz.

Tüm seçenekleri kurarak ilerliyorum.

Next-Install diyerek kurulumu başlatıyoruz.

Kurulum tamamlanmıştır.

Şimdi de AD tarafındaki geçerli olacağı OU için gerekli yapılandırmaları yapalım. Ben test ortamına yüklediğim için OU olarak “CLIENT_PC” grup olarak ta “LapsAdminGroup” ile devam edeceğim siz ortamınıza göre ayarlayabilirsiniz.

Aşağıdaki komutları powershell üzerinde çalıştırıyoruz

• Import-module AdmPwd.PS         kurulum modulünü powershell üzerine ekler.
• Update-AdmPwdADSchema        schema genişletir, komut sonrasında resimdeki 3 attribute eklenir.

Şimdi de aşağıdaki komutlar yardımıyla gerekli olan izinleri OU ve LAPS yetkilerinin olacağı kişilerimin ekli olacağı gruba yetki tanımlıyorum.

• Set-AdmPwdComputerSelfPermission -Orgunit “CLIENT_PC”
• Set-AdmPwdReadPasswordPermission -Orgunit “CLIENT_PC” -AllowedPrincipals “LapsAdminGroup”

AD tarafındaki işlemlerimi tamamladım. Şimdi Group Policy ayarlarına yapalım.

LAPS ın yükleneceği bilgisayarlarımızın olduğu OU üzerine baglı bir policy oluşturup editliyorum.

Computer Configration-Policies-Administrative Templates-LAPS yolunu izleyerek mevcut ayarları gözden geçiriyorum.

• Password Settings: Parolanızın özelliklerini ayarlayabileceğimiz policydir. Test ortamım oldugu için ben büyük-küçük harf + rakam olarak ayarladım siz isteğinize göre ayarlayabilirsiniz. Ayrıca parola için Age’ de belirtmeniz gerekecektir.

• Name Of Administrator Account to Manage: Bu kısımda eğer bilgisayarlarınızda Administrator hesabının adı değiştirilmiş ve siz LAPS üzerinden bunu yönetecekseniz enable ederek hesabınızın adını yazmanız gerekecektir. Benim şuan öyle bir durumum olmadığı için enable etmiyorum.

 

• Enable Local Admin Password Management: LAPS ın çalışması için asıl açmamız gereken policy burasıdır. Enable ediyoruz.

• Do Not Allow Password Expiration Time Longer Than Required by Policy: Bu ayarı etkinleştirdiğinizde, “Parola Ayarları” politikası tarafından belirlenen parola süresinden daha uzun bir süre için planlanmış parola süresi dolmasına izin verilmez. Enable yaparak devam ediyorum.

 

Sunucu tarafındaki işlemlerimiz bitti şimdi LAPS uygulamamızı kullanmak istediğimiz bilgisayarlarımıza kuruyoruz. Ben örnek olması için manuel olarak yükleyeceğim dilerseniz yapınızda kullandığınız agent dağıtan toollar ile yada GroupPolicy üzerindende yükleyebilirsiniz.

Client bilgisayarına indirdiğim LAPS msi paketini çalıştırıyorum.

Lisans sözleşmesini Kabul ediyoruz.

Burda dikkat etmemiz nokta burasıdır client makinalarına sadece AdmPwd GPO Extension seçeneğini yüklüyoruz.

Next-Install diyerek kurulumu başlatıyoruz.

Kurulum tamamlandı.

Kurulum sonrasında client makinasında aşağıdaki dosyanın oluştuğunu teyit ediyoruz.

Bu işlemlerin sonunda gpupdate yaparak group policylerin güncellenmesini sağlıyoruz ardından AD objemin özelliklerindeki attributeleri kontrol ettiğimde ilgili attributelerin oluştuğunu ve parola ile expire tarihimin dolu olduğunu görüyorum.

Aynı şekilde LAPS UI üzerindende sorgulayabilirsiniz.

Powershell üzerinden ilgili bilgisayarın parola bilgilerini görüntülemek istersek aşağıdaki komut yeterli olacaktır.

• Get-AdmPwdPassword <computername>

Parola resetlemek için powershell üzerinden aşağıdaki işlemi yapabilirsiniz.

• Reset-AdmPwdPassword <computername> -işlemin geçerli olması için gpupdate çalıştırılması gerekecektir-

Buraya kadar olan kısım eski laps yani Microsoft LAPS ile ilgiliydi yenisi olan Windows LAPS ile ilgilide elimdeki notları ayrı bir yazı olarak ekleyeceğim. Aşağıdaki link üzerinden detaylarını okuyabilirsiniz.

https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-overview