LAPS का उपयोग करके स्थानीय व्यवस्थापक पासवर्ड प्रबंधित करें

सबसे आम समस्याओं में से एक है जो लगभग हर सिस्टम प्रशासक स्थानीय व्यवस्थापक पासवर्ड का प्रबंधन कर रहा है।

इस समस्या को हल करने के लिए कई विकल्प हैं:

1. सभी कंप्यूटर पर एक ही पासवर्ड का उपयोग करें। पासवर्ड एमडीटी या एससीसीएम का उपयोग करते हुए तैनाती के दौरान या तैनाती के बाद समूह की नीतियों की वरीयताओं का उपयोग करके सेट किया जा सकता है। आमतौर पर, इस दृष्टिकोण के साथ, पासवर्ड कभी नहीं बदलता है, जिसका अर्थ है कि यह जल्दी या बाद में लीक हो जाएगा (जब व्यवस्थापक को निकाल दिया जाता है या उपयोगकर्ता पासवर्ड को झांक सकता है), जबकि समझौता किया हुआ पासवर्ड संगठन के सभी पीसी तक पहुंच देता है।
2. प्रत्येक पीसी पर एक अद्वितीय पासवर्ड की एक बार सेटिंग। आमतौर पर एक तैनाती के साथ होता है। बहुत सारे विकल्प हैं - एक यादृच्छिक पासवर्ड की मैन्युअल पीढ़ी से और इसे एक पासवर्ड अकाउंटिंग सिस्टम (Keepass, OnePassword, Excel) में सहेजना, प्रशासकों को ज्ञात एल्गोरिथम के अनुसार स्वचालित पासवर्ड पीढ़ी के साथ समाप्त होना, जहां इनपुट पीसी का नाम है। एल्गोरिथ्म को जानने के बाद, व्यवस्थापक मौके पर पासवर्ड की गणना कर सकता है और किसी भी पीसी में लॉग इन कर सकता है। विपक्ष लगभग विकल्प 1 के रूप में लगभग समान हैं: एक निकाल दिया गया प्रशासक किसी भी पीसी पर लॉग ऑन करने की क्षमता रखता है, लेकिन जब कोई उपयोगकर्ता पासवर्ड से समझौता करता है, तो उसे केवल एक पीसी तक पहुंच मिलती है, और एक बार में सभी को नहीं।
3. एक प्रणाली का उपयोग करना जो प्रत्येक पीसी के लिए स्वचालित रूप से यादृच्छिक पासवर्ड उत्पन्न करेगा और उन्हें निर्धारित कार्यक्रम के अनुसार बदल देगा। पिछले विकल्पों के नुकसान को यहां से बाहर रखा गया है - समझौता किए गए पासवर्ड को शेड्यूल के अनुसार बदल दिया जाएगा, और कुछ समय बाद बर्खास्त प्रशासक पीसी में लॉग इन नहीं कर पाएगा, भले ही वह बर्खास्तगी के समय पासवर्ड डेटाबेस को वैध तरीके से चुरा ले।

इस तरह की एक प्रणाली है एलएपीएस, स्थापना और विन्यास जिसकी चर्चा हम इस लेख में करेंगे।

गोद

LAPS का मतलब स्थानीय प्रशासक पासवर्ड सॉल्यूशन है और AdmPwd सॉल्यूशन का उत्तराधिकारी है, जिसे Microsoft द्वारा अधिग्रहित किया गया था और इसका नाम बदलकर LAPS रखा गया था। LAPS मुफ़्त है और इसमें अतिरिक्त बुनियादी सुविधाओं की लागत की आवश्यकता नहीं है, क्योंकि यह डेटाबेस के रूप में सक्रिय निर्देशिका का उपयोग करता है। समर्थन Microsoft प्रीमियर समर्थन सेवाओं के माध्यम से उपलब्ध है।

उत्पाद आधिकारिक पृष्ठ

मूल AdmPwd के लेखक ने एक नया उत्पाद AdmPwd.E विकसित किया है, लेकिन मुफ्त संस्करण 20 पीसी तक सीमित है, इसलिए यह सभी के लिए उपयुक्त नहीं है। आधिकारिक साइट ।

एलएपीएस व्यापक प्रलेखन (केवल अंग्रेजी में) के साथ आता है और आम तौर पर एक अत्यंत विचारशील और विश्वसनीय समाधान की छाप छोड़ता है।

आर्किटेक्चर

प्रणाली में निम्नलिखित घटक होते हैं:

1. एजेंट - ग्रुप पॉलिसी एक्सटेंशन MSI के माध्यम से सभी प्रबंधित पीसी पर स्थापित किया गया है। यह पासवर्ड जनरेट करने और उसे संबंधित AD ऑब्जेक्ट में सहेजने के लिए जिम्मेदार है।
2. पॉवरशेल मॉड्यूल। LAPS को कॉन्फ़िगर करने के लिए उपयोग किया जाता है।
3. सक्रिय निर्देशिका स्थानीय व्यवस्थापक का पासवर्ड संग्रहीत करता है।

एजेंट को हर बार कहा जाता है कि समूह नीति को अपडेट किया गया है और निम्नलिखित कार्य करता है:

• जाँच करता है कि स्थानीय व्यवस्थापक पासवर्ड की समय सीमा समाप्त हो गई है
• यदि वर्तमान समय समाप्त हो गया है या समाप्ति तिथि से पहले प्रतिस्थापित किया जाना आवश्यक है तो एक नया पासवर्ड बनाता है
• स्थानीय व्यवस्थापक पासवर्ड बदलता है
• AD ऑब्जेक्ट की संगत विशेषता में पासवर्ड सहेजता है
• AD ऑब्जेक्ट की संबंधित विशेषता में स्टोर पासवर्ड की समाप्ति तिथि

अगली बार पॉलिसी अपडेट होने पर पासवर्ड को प्रशासकों द्वारा पढ़ा जा सकता है और प्रतिस्थापन के रूप में चिह्नित किया जा सकता है।

पूर्ण LAPS ऑपरेशन आरेख निम्न छवि में दिखाया गया है।

स्थापित करें और एलएपीएस को कॉन्फ़िगर करें

सबसे पहले, कंप्यूटर पर LAPS नियंत्रण स्थापित करें जिससे हम कॉन्फ़िगर करेंगे।

Msi पैकेज लॉन्च करें और सभी Managemnt टूल इंस्टॉल करें, जिसमें LAPS UI, पॉवरशेल मॉड्यूल और ग्रुप पॉलिसी टेम्प्लेट शामिल हैं।


यदि आपने समूह नीति टेम्पलेट्स के लिए एक केंद्रीकृत भंडार स्थापित किया है, तो तुरंत "Admpwd.admx" और "En-us \ AdmPwd.adml" फ़ाइलों को "% SystemRoot% \ PolicyDinitions" से "\\ contoso.com \ SYSVOL \ contoso.com" में स्थानांतरित करें। \ नीतियाँ \ PolicyDefinitions "।

अगला चरण AD स्कीमा में नई विशेषताएँ जोड़ना है। ऐसा करने के लिए, "स्कीमा व्यवस्थापक" अनुमतियों वाले खाते की ओर से PowerShell कंसोल खोलें और पहले "आयात-मॉड्यूल AdmPwd.PS" कमांड के साथ मॉड्यूल को आयात करें और फिर "अपडेट-AdmPwadSchema" कमांड के साथ योजना को अपडेट करें।





फिर आपको यह सुनिश्चित करने की आवश्यकता है कि केवल व्यवस्थापकों के पास नई बनाई गई विशेषताओं तक पहुंच हो। यह आवश्यक है क्योंकि पासवर्ड AD में स्पष्ट में संग्रहीत किए जाते हैं, और उन तक पहुंच AD ACL द्वारा नियंत्रित की जाती है। ऐसा करने के लिए, “Find-AdmPwdExtendedrights -identity <OU, जहाँ पीसी खाते स्थित हैं> कमांड का उपयोग करें। प्रारूप-तालिका। "



यह आदेश उन खातों / समूहों की सूची देता है, जिनके पास AD में संग्रहीत पासवर्ड तक पहुंच होगी। यदि आपको "निरर्थक" खाते / समूह मिलते हैं, तो एक्सेस अधिकारों को सही ढंग से कॉन्फ़िगर करने के लिए ADSIEdit उपयोगिता का उपयोग करें। सुनिश्चित करें कि "सभी विस्तारित अधिकारों" की अनुमति उन समूहों के लिए नहीं दी गई है जिनके पास पासवर्ड तक पहुंच नहीं है।



यदि आप अतिरिक्त समूहों या खातों के लिए पासवर्ड देना चाहते हैं, तो कमांड का उपयोग करें "Set-AdmPwdReadPasswordPermword -OrgUnit <OU, जहां पीसी खाते स्थित हैं- -AllowedPrinciple <उपयोगकर्ता या समूह>"।

अगले समूह नीति अद्यतन के दौरान किसी अनपेक्षित पासवर्ड के परिवर्तन को बाध्य करने के लिए एक्सेस अधिकार निम्न आदेश द्वारा जारी किए जाते हैं: "Set-AdmPwdResetPasswordPermission -Identity <OU, जहां पीसी खाते स्थित हैं> -llowedPrincipals <उपयोगकर्ता या समूह>"





फिर आपको इन विशेषताओं को संशोधित करने के लिए कंप्यूटर को अधिकार देने की आवश्यकता है। ऐसा करने के लिए, "Set-AdmPwdComputerSelfPermission -OrgUnit <OU, जहां पीसी खाते स्थित हैं> कमांड का उपयोग करें"



अगला कदम समूह नीति को कॉन्फ़िगर करना है। हम पासवर्ड की जटिलता और समाप्ति की तारीखों को नियंत्रित कर सकते हैं जिनके खाते का नाम पासवर्ड बदल जाएगा, साथ ही साथ लैप्स को चालू और बंद कर देगा।







खाते का नाम केवल तभी इंगित किया जाना चाहिए जब वह विशेष रूप से बनाया गया खाता हो। यदि यह एक बिल्ट-इन अकादमिक खाता है, तो इस पैरामीटर को "कॉन्फ़िगर नहीं किया गया" (भले ही खाता नाम बदल दिया गया हो) में छोड़ दिया जाना चाहिए, क्योंकि अंतर्निहित खाता अच्छी तरह से ज्ञात सिड द्वारा पाया जाएगा।



अगला कदम पीसी पर ग्रुप पॉलिसी एक्सटेंशन स्थापित करना है। इसे समूह नीतियों, SCCM या किसी अन्य अनुप्रयोग परिनियोजन उपकरण को सौंपा जा सकता है। यह ध्यान दिया जाना चाहिए कि डिफ़ॉल्ट रूप से एमएसआई पैकेज केवल क्लाइंट भाग को स्थापित करता है, इसलिए तैनाती को इंस्टॉलर में अतिरिक्त मापदंडों को पारित करने की आवश्यकता नहीं होती है। समूह नीतियों के माध्यम से तैनात करते समय पीसी के रिबूट की आवश्यकता होती है।

अपना पासवर्ड देखने का सबसे आसान तरीका LAPS UI का उपयोग करना है। उपयुक्त फ़ील्ड में कंप्यूटर का नाम दर्ज करें और "खोज" पर क्लिक करें। यदि हमने सब कुछ सही ढंग से किया है, तो आपको संबंधित फ़ील्ड में पासवर्ड दिखाई देगा।

निष्कर्ष

इस लेख में LAPS की तैनाती के लिए बुनियादी कदम शामिल हैं। उत्पाद के साथ आए प्रलेखन में अधिक जानकारी उपलब्ध है। एलएपीएस के पास अपने कार्यों को लॉग करने का एक साधन भी है, जो इस लेख में चर्चा नहीं की गई थी, लेकिन प्रलेखन में वर्णित है।