Das neue Windows LAPS ist jetzt eine integrierte Funktion, die über den neuesten Patch Tuesday verfügbar ist

Microsoft hat gestern mit dem Rollout seiner Patchday-Updates für Windows 10 und Windows 11 begonnen . Eines der im Änderungsprotokoll von Windows 11 erwähnten Elemente war eine neue Windows Local Administrator Password Solution (LAPS). Während Microsoft in seinem Änderungsprotokoll verständlicherweise nicht sehr detailliert auf diese Funktion eingegangen ist, hat es einen speziellen Blog-Beitrag veröffentlicht , in dem die Änderung im Detail beschrieben wird.

Für diejenigen, die es nicht wissen, war LAPs bis heute nur als MSI-Paket verfügbar, das manuell aus dem Microsoft Download Center heruntergeladen werden konnte. Es wurde hauptsächlich von IT-Administratoren verwendet, um unter anderem lokale Administratorkonten auf bereitgestellten Windows-Geräten zu sichern, Geräte durch Anmeldung mit einem lokalen Administratorkonto wiederherzustellen und Identitäten auf Azure Active Directory-verbundenen Computern zu verwalten.

Mit dem gestern ausgerollten letzten Patch Tuesday Update wird diese Variante von LAPS nun aber als „Legacy LAPS“ bezeichnet, da Microsoft das Produkt nativ direkt in Windows integriert hat. Der Technologieriese aus Redmond sagt, dass dies aufgrund der „beliebten Nachfrage“ geschehen ist und dass die Posteingangslösung jetzt für die folgenden Windows WeUs verfügbar ist:

• Windows 11 Pro, EDU und Unternehmen
• Windows 10 Pro, EDU und Unternehmen
• Windows Server 2022 und Windows Server Core 2022
• Windows-Server 2019

Es gibt auch einige neue Funktionen für Windows LAPS, die unten aufgeführt sind:

• LAPS unterstützt Azure Active Directory (derzeit in privater Vorschau, öffentliche Vorschau folgt in Kürze)

  • Ruft gespeicherte Passwörter über Microsoft Graph ab.

  • Erstellt zwei neue Microsoft Graph-Berechtigungen zum Abrufen nur der „Metadaten“ des Kennworts (d. h. für Sicherheitsüberwachungs-Apps) oder des vertraulichen Klartextkennworts selbst.

  • Stellt rollenbasierte Azure-Zugriffssteuerungsrichtlinien (Azure RBAC) zum Erstellen von Autorisierungsrichtlinien für den Kennwortabruf bereit.

  • Enthält Unterstützung für das Azure-Verwaltungsportal zum Abrufen und Rotieren von Kennwörtern.

  • Hilft Ihnen, das Feature über Intune zu verwalten!

  • Rotiert das Passwort automatisch, nachdem das Konto verwendet wurde.

• Neue Funktionen für lokale Active Directory-Szenarien

  • Passwortverschlüsselung: Verbessert die Sicherheit für diese sensiblen Geheimnisse erheblich!

  • Passwortverlauf: Gibt Ihnen die Möglichkeit, sich wieder bei wiederhergestellten Backup-Images anzumelden.

  • Directory Services Restore Mode (DSRM)-Kennwortsicherungen: Hilft, Ihre Domänencontroller zu schützen, indem diese kritischen Wiederherstellungskennwörter regelmäßig ausgetauscht werden!

  • Emulationsmodus: Nützlich, wenn Sie die älteren LAPS-Richtlinieneinstellungen und -Tools weiterhin verwenden möchten, während Sie sich auf die Migration zu den neuen Funktionen vorbereiten!

  • Automatische Rotation: Rotieren Sie das Passwort automatisch, nachdem das Konto verwendet wurde.

• Neue Features für Azure AD- und lokale AD-Szenarien

  • Eine umfassende Richtlinienverwaltung ist jetzt sowohl über Gruppenrichtlinien als auch über Configuration Service Provider (CSP) verfügbar.

  • Das Wechseln des Kennworts für das Windows LAPS-Konto bei Bedarf vom Intune-Portal ist sehr nützlich, wenn Sie beispielsweise ein mögliches Verletzungsproblem behandeln.

  • Ein dediziertes Ereignisprotokoll befindet sich unter Anwendungen und Dienste. Siehe Protokolle > Microsoft > Windows > LAPS > Betriebsbereit für eine verbesserte Diagnose.

  • Das neue PowerShell-Modul enthält verbesserte Verwaltungsfunktionen. Beispielsweise können Sie das Passwort jetzt mit dem neuen Cmdlet Reset-LapsPassword bei Bedarf rotieren!

  • Hybridverbundene Geräte werden vollständig unterstützt.

Das Gute für IT-Administratoren ist, dass beide LAPS-Versionen derzeit nebeneinander existieren können, aber Microsoft hat empfohlen, nicht beide zu verwenden, um dasselbe Konto zu konfigurieren, da dies zu Richtlinienkonflikten führen kann. Sie können das neue LAPS jetzt auf berechtigten Bereitstellungen verwenden, auf denen die Patchday-Updates vom April installiert sind.