Emre Yılmaz 02/09/2019 Okuma süresi: 3dk, 2sn
Birçok IT Yöneticisi ilk sunucu ve kurulum aşamasında kolay ve hızlı ilerlemek için oluşturulan hazır template veya imaj üzerinden tüm sunucuların veya kullanıcı bilgisayarlarının local admin şifrelerini aynı olarak kullanır. Bir GPO yardımı ile ya Local Admin Hesaplarını disable duruma getirir veya farklı bir isimde Local Admin hesabı oluşturarak Local Administrators grubuna üye yapar. Yapılan sızma testlerinde hesapların password never expire durumları dikkate alınır ve böyle bir durum pekte doğru bulunmaz. Belli aralıklarla da olsa bu tür passwordlerin değiştirilmesi gerekmektedir. Bu konuda Microsoft un ücretsiz kullanıma sunduğu LAPS (Local Admin Password Solutions ) ‘ ı kullanabilirsiniz.
Öncelikle dosyayı Microsoft sayfasından indiriyoruz.
Local admin Passwordlerini yöneteceğimiz tüm makinelere kurulumumuzu gerçekleştiriyoruz. Kurulumumuzu bir GPO yardımı ile gerçekleştirebiliriz.
İşletim sistemimizin 32 veya 64 sürümüne uygun olan paketi seçip indiriyoruz.
İndirdiğimiz dosyanın kurulumuna başlıyoruz ve next ile ilerliyoruz.
Install seçeneği ile programımızın kurulumunu gerçekleştiriyoruz.
Kurulumumuz bittikten sonra AD tarafından Shemamıza iki özellik eklemek için aşağıdaki komutları sırası ile giriyoruz.
Hangi OU içinde bulunan istemcilerin şifre işlemleri için aşağıdaki komut ile yetki veriyoruz.
Set-AdmPwdComputerSelfPermission -OrgUnit MSHOWTO
Oluşturduğumuz bir grup veya kullanıcıya şifreleri görebilmesi için aşağıdaki komut ile izin veriyoruz. Ben PasswordShow adından bir grup oluşturdum ve bu gruba izin veriyorum.
Set-AdmPwdReadPasswordPermissions -Orgunit MSHOWTO -AllowedPrinciples PasswordShow
Set-AdmPwdResetPasswordPermission –OrgUnit MSHOWTO -AllowdPrincipals PasswordShow
Aşağıdaki komut ile bu OU üzerinde kimlerin yetki olduğunu görebilmekteyiz.
Find-AdmPwdExtendedRights -Identity MSHOWTO | fl
Active Directory Group Policy Management ‘ ı açıyoruz. MSHOWTO OU ‘ su üzerinde yeni bir policy oluşturuyoruz.
Oluşturduğumuz gpo’ya bir isim verip editliyoruz. Oluşturduğumuz GPO server ve clientlerın bulunduğu OU ‘ nun üstüne linklememiz gerekiyor.
Password Setting sekmesini enable yapıyoruz. Burada uygulanacak password politikamızı belirliyoruz. Default olarak 14 karakter, kompleks ve 30 günde bir değiştirme seçeneği geliyor . Ben default ayarlarda bıraktım .
Passwordleri yöneteceğimiz hesapların isimlerini bu alana giriyoruz.
Password yönetimini aktif etmek için bu ayarımızı enable duruma getiriyoruz.
Daha sonra uyguladığımız policy ve LAPS setup ‘ ını yükleme yaptığımız bir client makinanın özelliklerine AD üzerinden baktığımızda Password ‘ ü ve Expire zamanını görebiliyoruz.
Gui ekranından password ‘ ü ve expire zamanımızı görebiliyoruz. Ayrıca Password’ü daha önceki veya ileriki bir tarihte değiştirilmesini sağlayabiliyoruz.
Bu şekilde tüm client ve server makinalarımızın Local Admin passwordlerini yönetebilir hale geldik.
TAGs: microsoft laps,microsoft laps kurulumu,microsoft laps nedir,Local Administrator Password Solution LAPS,What is Microsoft LAPS?,Microsoft LAPS deployment and configuration guide
Etiketler: Local Administrator Password Solution LAPS, microsoft laps, Microsoft LAPS deployment and configuration guide, microsoft laps kurulumu, microsoft laps nedir, What is Microsoft LAPS?