Windows LAPS lokale Admin-Passwörter sicher machen
Dieser Artikel wurde bereits 227x gelesen...
Auf Hunderten Workstations und Servern existiert dasselbe lokale Administrator-Passwort. Ein paradiesisches Szenario für Angreifer, um sich seitlich im Netzwerk auszubreiten. Die Abhilfe heißt Windows LAPS (Local Administrator Password Solution) – ein kostenloses Microsoft-Bordmittel, das in keiner modernen IT-Infrastruktur fehlen darf.
Bei der Bereitstellung von Windows-Clients oder Servern wird häufig im Rahmen des Staging-Prozesses ein lokales Administrator-Konto angelegt. Aus Praktikabilitätsgründen vergeben IT-Abteilungen dabei oft ein einheitliches Passwort für die gesamte Flotte.
- jedes Gerät im Netzwerk ein einzigartiges, hochkomplexes Kennwort für das lokale Administratorkonto erhält,
- dieses Kennwort in regelmäßigen Abständen automatisch rotiert wird (z. B. alle 30 Tage),
- das aktuell gültige Kennwort sicher und zentral im Active Directory (AD) oder in Microsoft Entra ID (ehemals Azure AD) gespeichert wird,
- nur berechtigte Helpdesk-Mitarbeiter oder Systemadministratoren Zugriff auf das Passwort eines spezifischen Clients haben.
- Schema erweitern (nur On-Premises AD): Wenn Sie LAPS mit einem lokalen Active Directory nutzen, muss das AD-Schema für die verschlüsselte Speicherung einmalig aktualisiert werden (per PowerShell-Cmdlet
Update-LapsADSchema). - Ziel-Konten definieren: Legen Sie fest, ob das integrierte Administrator-Konto (RID 500) oder ein separat angelegtes lokales Notfall-Konto von LAPS verwaltet werden soll.
- Richtlinien konfigurieren: Definieren Sie per Gruppenrichtlinie (GPO) oder Intune-Policy die Kennwortkomplexität (z. B. 16+ Zeichen), die Gültigkeitsdauer (z. B. 30 Tage) und die Verschlüsselungsoptionen.
- Berechtigungen vergeben: Entziehen Sie Standard-Benutzern die Leserechte auf die LAPS-Attribute und weisen Sie die Lese-Berechtigungen ausschließlich dedizierten Helpdesk-Gruppen zu.
0 Kommentare