域內計算機本地管理員密碼管理

時間 2020-02-12

標籤計算機本地管理員密碼管理简体版

原文原文鏈接

隨着互聯網技術的不斷髮現，信息安全在企業中的受重視度也愈來愈高，終端管理是信息安全中相當重要的一環，不可能要求終端用戶和服務器管理員有着同樣的安全隱患意識和技術水平，所以在終端管理員層如何制定完善終端管理的制度和利用現有的技術來規範用戶行爲相當重要。其中作好權限的管理是重中之重，而企業內終端的密碼管理則是權限管理的基礎。數據庫

在小型企業中，PC客戶端直接使用客戶端，這種方式終端上須要管理的密碼只有工做組帳號密碼，這種熟練較少，只有使用excel等其餘小工具管理便可。在中大型企業中，則會使用AD活動目錄來進行統一身份認證，此時域用戶帳號的密碼則集中保留中AD數據庫中，而且用戶權限也是保留在AD中，AD的安全性遠高於普通PC，所以安全性大大提高。安全

可是使用活動目錄，如何管理入域計算機的本地管理員密碼是企業IT運維管理員頭疼的一件事，基數龐大且在處理故障時又確實須要本地管理員帳號，如下我就介紹幾種在企業中常見的域內計算機本地管理員帳號管理方式，其中着重介紹LAPS（Local Administrator Password Solution）。服務器

常見的幾種本地管理員密碼管理方式

1.直接禁用本地管理員網絡

這是一種簡單粗暴的方式，直接省去管理本地帳號的工做，這種方式可使用組策略來實現，問題是電腦因故障脫離域，或是沒法使用域帳號登陸時，電腦就沒法登陸，須要藉助PE等工具啓用本機管理員並設置密碼。雖然管理簡單可是安全性有保障。架構

2.使用統一的本地管理員密碼運維

這種方式在企業中最爲常見，本地administrator管理員密碼掌握在少數管理員手中，全公司或者單個部門保持一致的本地管理員密碼（能夠經過組策略實現），這種方式對於helpdesk運維工做帶來的極大的方便，可是隻要出現密碼泄露則會帶來極大的隱患，並非很推薦的作法。ide

3.每臺電腦設置不同的密碼工具

每臺電腦設置一個不一樣的管理員密碼，由IT人員記錄在Excel或是筆記本上；但存在的問題是：每次要找某臺電腦的管理員密碼時，要去找文件或是記錄，並且也不能定時修改！這種方式大大的增長的IT人員的運維工做量。優化

4.爲每臺PC本地管理員設置隨機密碼ui

在少部分企業中，經過計算機開機腳本，爲每臺計算機設置隨機密碼，並經過其餘方法配合禁止有本地管理員權限的用戶去更改本地帳號密碼，此種方式與直接禁用本地管理員帳號優缺點並不太大差別。

5.使用LAPS統一管理計算機本地管理員密碼

優勢：

全自動，可配置的計算機本地管理員賬戶更新
經過OU訪問存儲的密碼的簡單委派。
因爲LAPS利用了Active Directory組件（組策略，計算機對象屬性等），所以不須要其餘服務器。
計算機賬戶只能寫入/更新本身的本地管理員賬戶密碼（ms-Mcs-AdmPwd屬性），而不能從該屬性讀取密碼。
密碼更新流量已加密。
能夠輕鬆地爲OU中的每臺計算機更改密碼。
免費

缺點：

僅存儲當前密碼，而且可供檢索
一次只能由LAPS管理一個本地管理員賬戶的密碼（只有一個密碼屬性）
域控制器的危害可能會危害域中的全部本地管理員賬戶密碼。
密碼能夠隨時訪問，並能夠由委派的密碼人員隨時使用。雖然能夠啓用審覈，但必須按每一個OU，每一個組配置，以便在域控制器上記錄事件ID 4662。

LAPS組件

代理-組策略客戶端擴展（CSE）-經過MSI安裝

事件記錄
隨機密碼生成-從客戶端計算機寫入AD計算機對象

PowerShell模塊

權限配置

Active Directory-集中控制

域控制器安全日誌中的審覈跟蹤
計算機對象特殊屬性（ms-Mcs-AdmPwd、ms-Mcs-AdmPwdExpirationTime）

LAPS受支持的版本

活動目錄：

Windows 2003 SP1及更高版本

受管/客戶端計算機：

Windows Server 2016
Windows Server 2012 R2數據中心（x86或x64）
Windows Server 2012 R2標準（x86或x64）
Windows Server 2012 R2基礎（x86或x64）
Windows 8.1企業版（x86或x64）
Windows 8.1專業版（x86或x64）
Windows Server 2012數據中心（x86或x64）
Windows Server 2012標準版（x86或x64）
Windows Server 2012 Essentials（x86或x64）
Windows Server 2012基礎（x86或x64）
Windows 8企業版（x86或x64）
Windows 8專業版（x86或x64）
Windows Server 2008 R2 Service Pack 1（x86或x64）
Windows 7 Service Pack 1（x86或x64）
Windows Server 2008 Service Pack 2（x86或x64）
Windows Vista Service Pack 2（x86或x64）
Microsoft Windows Server 2003 Service Pack 2（x86或x64）
不支持Itanium

管理工具：

NET Framework4.0
PowerShell 2.0 或更高版本

LAPS運做核心

LAPS簡化了密碼管理，同時幫助客戶實施針對網絡***的建議防護措施。特別是，該解決方案可減輕客戶在計算機上使用相同的管理本地賬戶和密碼組合時出現的橫向風險。LAPS將每臺計算機的本地管理員賬戶的密碼存儲在Active Directory中，並在計算機的相應Active Directory對象的安全屬性中進行保護。容許計算機在Active Directory中更新其本身的密碼數據，而且域管理員能夠向受權用戶或組（如工做站服務檯管理員）授予讀取權限。

使用LAPS能夠自動管理加入域的計算機上的本地管理員密碼，以便每一個受管計算機上的密碼都是惟一的，是隨機生成的，而且安全地存儲在Active Directory基礎結構中。該解決方案創建在Active Directory基礎結構上，不須要其餘支持技術。LAPS使用您在受管計算機上安裝的組策略客戶端擴展（CSE）來執行全部管理任務。該解決方案的管理工具可輕鬆配置和管理。

LAPS解決方案的核心是GPO客戶端擴展（CSE），它執行如下任務，並能夠在GPO更新期間執行如下操做：