Windows LAPS: der umfassende Leitfaden

Einleitung

Dieser Post stellt Windows LAPS mit den wichtigsten Spezifikationen vor und zeigt, was du auf hoher Ebene wissen musst. Beschrieben sind Szenarien mit Active Directory und mit Entra ID.

Überblick

Windows LAPS ist generell verfügbar: unter Windows seit dem Update vom 11. April 2023, mit Microsoft Entra ID und Intune seit dem 23. Oktober 2023.

Die Local Administrator Password Solution ist ein bekanntes Microsoft-Produkt. Sie verwaltet das Passwort des lokalen Administratorkontos und sichert es in Active Directory oder Microsoft Entra ID.

Ziel ist, lokale Administratorrechte zu kontrollieren und vor Pass-the-Hash- und Lateral-Traversal-Angriffen zu schützen. Allgemeine Administratorkonten, deren Zugangsdaten auf mehreren Geräten gleich sind, sind eine Sicherheitslücke.

Features

Allgemein

• Nativ in Windows integriert (unterstützte Windows-Plattformen)
• Passwort in Active Directory oder Entra ID speichern
• Passwortverlauf
• Post Authentication Actions nach der Nutzung des LAPS-Kontos
• Neues PowerShell-Modul

Entra ID

• Integration in Intune (Passwortabruf und Remote Action zum Rotieren)
• Konfiguration über den Settings Catalog

AD

• Neue Schema-Attribute
• Unterstützung für das Domain Services Restore Mode (DSRM) Passwort
• Konfiguration per GPO
• Unterstützung für Verschlüsselung

Architektur

Schliessen

Backup-Verzeichnis

Das Backup-Verzeichnis ist entweder Active Directory oder Entra ID, aber pro Gerät nur eines von beiden.

Passwortabruf

Entra ID

• Benutzer mit zugewiesenen Built-in-Rollen (Intune Admin, Cloud Device Admin oder Global Admin) können das Passwort lesen. Alle Rollen mit LAPS-Berechtigungen siehst du in der Übersicht
• Den Zugriff von Admins auf eine Auswahl von Geräten schränkst du mit Administrative Units ein, siehe Post

AD
Erstelle eine AD-Gruppe, um:

• Die GPO-Einstellung ADPasswordEncryptionPrincipal mit einem Benutzer, einer Gruppe oder einer SID (bevorzugt) zu konfigurieren, die das verschlüsselte Passwort entschlüsseln darf (wenn die Passwortverschlüsselung aktiviert ist)
• Mit AD Extended Rights die Berechtigungen auf OU-Ebene zu setzen, mit «Set-LapsADReadPasswordPermission», um das Passwort zu lesen

Built-in Admin

Das integrierte Administratorkonto von Windows hat keinen Lockout-Schwellenwert und eine bekannte SID. Angreifer können dieses Konto deshalb leicht per Brute Force angreifen.

Aus Sicherheitssicht empfehle ich, ein eigenes Administratorkonto zu erstellen, das Windows LAPS verwaltet.

• Für Intune kannst du Remediations nutzen. Mein Kollege Nicola hat dafür bereits ein Script-Paket erstellt: Detection Script und Remediation Script
• Für AD kannst du ein ähnliches Script erstellen oder eine GPO verwenden

Post Authentication Action

Eine neue Funktion verlangt, dass nach der Authentifizierung mit dem von LAPS verwalteten Konto eine Aktion ausgeführt wird. Erfolgreiche und fehlgeschlagene Authentifizierungen lösen sie beide aus. (Event ID 10041) Zur Auswahl stehen:

• Passwort zurücksetzen
• Passwort zurücksetzen und abmelden
• Passwort zurücksetzen und neu starten

Überblick zur Umsetzung

Bevor du mit der Umsetzung startest, empfehle ich dir diese Schritte:

• Voraussetzungen prüfen
• Aktuelle LAPS-Konfigurationen analysieren (für AD)
• Passwortabruf und Built-in Admin durchdenken
• Die konfigurierbaren Einstellungen prüfen
• Das Szenario wählen:

Microsoft Entra ID

1. Windows LAPS in deinem Tenant aktivieren

2. In Intune eine Policy unter Endpoint Security>Account Protection für Windows LAPS erstellen und zuweisen

Schliessen

Das war's schon: Mehr brauchst du nicht, damit es funktioniert.

Passwortabruf und Rotation

Die Zugangsdaten des lokalen Admins rufst du im Intune-Portal auf dem Gerät ab (mit der passenden Berechtigung bzw. Role):

Alternativ auch unter Entra ID>Devices>Local administrator password recovery

Die Rotation löst du als Remote Action direkt auf dem Geräteobjekt aus:

Active Directory

Bevor du in AD mit der Umsetzung startest, musst du deinen Ausgangspunkt bestimmen. Entweder hattest du Legacy LAPS nicht konfiguriert > Greenfield, oder du hast bereits LAPS > Migration.
Die Umsetzungsschritte sind dieselben, bei einer Migration musst du aber einiges mehr bedenken und erledigen.

1. Voraussetzungen prüfen
2. Domain Controller aktualisieren
3. Das Windows Server Active Directory Schema aktualisieren
4. Dem verwalteten Gerät die Berechtigung geben, sein Passwort zu aktualisieren
5. Extended Rights Berechtigungen entfernen und Extended Rights mit «Set-LapsADReadPasswordPermission -Identity OU -AllowedPrincipals AD group» vergeben
6. Optional: Auditing aktivieren mit «Set-LapsADAuditing -Identity OU -AllowedPrincipals AD group»
7. C:\Windows\PolicyDefinition\LAPS.admx und \en-US\LAPS.adml nach \corp.net\SYSVOL\corp.net\Policies\PolicyDefinitions und \en-US kopieren
8. Eine neue GPO konfigurieren und verknüpfen - Computer Configuration > Policies > Administrative Templates > System > LAPS

Migration von Legacy LAPS

Bei der Migration von LAPS gibt es einige Punkte zu beachten. Generell rate ich dir, für die neue Windows-LAPS-Verwaltung ein zusätzliches, eigenes lokales Administratorkonto zu erstellen. So kannst du Legacy LAPS weiter betreiben und beeinträchtigst seine Funktion nicht. (Offizielle Quelle)

Empfehlungen für das Aufräumen

Jedes Legacy-LAPS-Setup kann Folgendes enthalten:

GPO
Die GPO-Verknüpfung entfernen und die GPO später löschen.
Extended Rights
Extended Rights findest du mit «Find-AdmPwdExtendedRights». Entferne die speziellen Berechtigungen von der OU:

• Read ms-Mcs-AdmPwd
• Read ms-Mcs-AdmPwdExpirationTime
• Write ms-Mcs-AdmPwdExpirationTime

Legacy-LAPS-Agent
Meistens war nur die CSE-Komponente installiert, du kannst aber das ganze LAPS-Paket entfernen:

MsiExec.exe /x {EA8CB806-C109-4700-96B4-F1F268E5036C} /qn

Konto deaktivieren
Du willst auch das Konto deaktivieren, das Legacy LAPS verwaltet hat. (Falls du jetzt ein neues, eigenes Konto für Windows LAPS hast) Nutze dafür eine GPO:

Schliessen

Schema-Erweiterung
Die Schema-Attribute von Legacy LAPS zu entfernen, wird nicht empfohlen.

Ressourcen

• Referenz der Schema-Erweiterungen
• PowerShell-Vergleich
• LAPS-Eigenschaftendialog

Monitoring

Event Viewer

Applications and Services Logs>Microsoft>Windows>LAPS

Registry

KQL

AuditLogs 
| where TimeGenerated > ago(360d)
| where OperationName == 'Recover device local administrator password'
| mv-expand TargetResources
| extend DeviceName = TargetResources.displayName
| extend Actor = InitiatedBy.user.userPrincipalName
| extend DeviceId = TargetResources.id
| project TimeGenerated, ActivityDisplayName, Actor, DeviceName, DeviceId

Quelle: Gist von nicolonsky

Was heisst das für Schweizer Firmen?

• Windows LAPS ist in Windows und Entra ID integriert und braucht kein zusätzliches Produkt. Für das Szenario mit Entra ID und Intune brauchst du keine Server-Infrastruktur, das passt zu KMU und IT-Dienstleistern ohne eigenes Active Directory
• Lokale Administratorpasswörter sind Zugangsdaten mit weitreichenden Rechten. Wer sie abrufen darf, regelst du über Rollen und Administrative Units, und der Abruf steht im Audit-Log (siehe KQL oben). Das hilft bei den technischen und organisatorischen Massnahmen nach revDSG
• Die Passwörter liegen im Entra-ID-Tenant. Dessen Land wird bei der Erstellung gewählt und lässt sich nicht mehr ändern. Ein Schweizer Tenant wird der Geo-Location Europe, Middle East and Africa (EMEA) zugeordnet, eine reine Speicherung in der Schweiz gibt es bei Entra ID nicht. Kläre das mit Kunden, die Schweizer Datenhaltung verlangen
• Hast du noch Legacy LAPS im Einsatz, plane die Migration als eigenes Projekt mit parallelem Betrieb und eigenem Konto, wie oben beschrieben