Lokale Administrator-Benutzer in Netzwerken steuern und verwalten

So arbeiten Sie mit LAPS

| Autor / Redakteur: Thomas Joos / Andreas Donner

LAPS kommt vor allem in Active Directory-Umgebungen zum Einsatz, um lokale Server besser abzusichern.
LAPS kommt vor allem in Active Directory-Umgebungen zum Einsatz, um lokale Server besser abzusichern. (Bild: Andrey Popov - Fotolia.com)

Mit dem kostenlosen Tool Local Administrator Password Solution (LAPS) können Administratoren ihre lokalen Konten und Accounts in lokalen Netzwerken wesentlich effizienter konfigurieren und überwachen. Im Bereich der Datensicherheit spielen nicht nur Domänenkonten eine wichtige Rolle, sondern auch die Administratoren lokaler Server.

Die Lösung wird vor allem in Active-Directory-Umgebungen eingesetzt, um lokale Server besser abzusichern. Die Software unterstützt Windows Vista bis Windows 10 und Windows Server 2003 bis Windows Server 2012 R2.

Damit Unternehmen das Produkt einsetzen können, ist eine Erweiterung des Active-Directory-Schemas notwendig. Durch diese Erweiterung werden die beiden neuen Attribute "ms-Mcs-AdmPwd" und "ms-Mcs-AdmPwdExpirationTime" in das Active Directory integriert. In den Werten speichert Active Directory das lokale Administrator-Kennwort des entsprechenden Clients und dessen Ablauf.

De eigentliche Absicherung der lokalen Administrator-Konten erfolgt über Gruppenrichtlinien, die zentral alle lokalen Benutzerkonten steuern. Wir zeigen die Einrichtung des Dienstes in der Bildergalerie zu diesem Artikel.

Local Administrator Password Solution installieren und einrichten

Die Installation des Dienstes besteht aus der Installation und Konfiguration des Verwaltungs-Servers, der die lokalen Administrator-Konten verwaltet, der Konfiguration der entsprechenden Richtlinien und schließlich die Client-Computer-Server selbst. Generell sollten auf dem Verwaltungsserver alle zur Verfügung stehenden Optionen des Assistenten installiert werden.

Auf den Client-Computern wird ebenfalls die Erweiterung aus der Datei laps.x64.msi installiert. Hier wird jedoch lediglich die Option "AdmPwd GPO Extension" installiert. Die Verteilung des Agenten kann über lokale Installationen, Anmeldeskripte, System Center Configuration Manager, oder mit Skripten erfolgen. Auf 32-Bit-Clients muss natürlich die 32-Bit-Version des Clients installiert werden. Die Installation ohne Benutzereingabe kann über folgende Befehle erfolgen:

  • msiexec /i <Pfad>\LAPS.x64.msi /quiet
  • msiexec /i <Pfad>\LAPS.x86.msi /quiet

Alternativ können Administratoren die Datei AdmPwd.dll des Clients auf die Clientcomputer kopieren und danach im System registrieren. Dazu wird der Befehl "regsvr32.exe AdmPwd.dll" verwendet. In diesem Fall erscheint das Tool aber nicht in der Systemsteuerung bei den installierten Programmen.

Neben den Möglichkeiten, die wir in diesem Beitrag zeigen, kann LAPS auch die Zugriffsrechte für Administratorkonten und deren Pflege verwalten. Die Vorgehensweise dazu ist in der Anleitung zu finden, die dem Tool beiliegt. Vor einem produktiven Einsatz sollten die Rechte in Active Directory an die eigenen Bedürfnisse angepasst werden.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43484307 / Security-Devices und -Tools)