Local Administrator Password Solution (Windows LAPS)

Local Administrator Password Solution (Windows LAPS)

 

Active Directory에서 사용자의 속성 값을 확인하다가 LAPS 라는 단어가 보이더라구요..?

전 이런 기능이 있다는걸 처음알았어요

그래서 바로 문서를 확인하고 테스트를 진행하려고 합니다!

 

 

 

Local Administrator Password Solution (Windows LAPS)

 

간단하게 요약하자면, PC의 로컬 관리자 계정의 패스워드를 관리하는 기능이에요

 

등록되는 위치(Entra ID / Windows Server Active Directory)에 따라서

로컬 관리자 계정의 패스워드를 저장하고 관리하는 위치가 달라진다고 하네요

 

이전엔 Microsoft Download Center에서 LAPS를 다운받아 사용했었다고 하네요

현재는 이걸 Legacy LAPS라고 하고 현재는 해당 방법을 사용하지 않고 Windows LAPS 기능을 사용한다고 합니다

 

 

 

 

Windows LAPS 구성

 

Windows Server (Active Directory)에서 LAPS를 구성하려고 합니다

 

로컬관리자 계정에 대한 패스워드를 관리할 PC는 Windows 10이고

해당 PC에 관리할 로컬 관리자 계정의 이름은 o959admin 이에요

 

 

첫번째, Active Directory 서버의 Windows Update를 모두 진행해주세요

업데이트를 모두 진행해야 두번째 항목인 스키마 확장이 가능합니다

 

 

두번째, Active Directory에 LAPS 기능과 관련된 스키마를 확장해주세요

Import-Module LAPS
Update-LapsADSchema

 

위 명령어를 이용하여 LAPS 모듈을 Import 한 뒤 Laps 스키마를 확장해주세요

 

 

이후 컴퓨터개체를 확인하면 위와 같이 LAPS라는 탭도 생기고

msLAPS- 에 대한 속성이 생긴 것을 확인 가능합니다

 

LAPS 내 값은 현재 진행하고 있는 LAPS 관련된 설정이 완료되면 값이 자동으로 채워진다고 하네요

 

 

세번째, 디바이스에 대해 암호 업데이트 권한을 부여해주세요

관리 디바이스(Domain Joined)에 암호를 업데이트할 수 있는 권한이 부여되어야 해요

아래 명령어로 권한을 부여 할 수 있어요

 

전 테스트 환경이다 보니, 도메인 루트에 권한을 부여했습니다

Set-LapsADComputerSelfPermission -Identity "DC=o959,DC=net"

 

 

네번째, Windows LAPS에 대한 그룹정책을 배포해주세요

LAPS에 대한 그룹정책을 배포해야합니다

 

[컴퓨터 구성] - [정책] - [관리 템플릿] - [시스템] - [LABS]

 

많은 정책들이 있지만, 기본적으로 두가지만 배포했어요

Configure password backup directory : 로컬관리자 패스워드를 백업할 디렉토리를 선택

Name of administrator account to manage : LABS를 이용하여 관리할 로컬 관리자 계정 이름

 

 

그리고 정책을 테스트 환경이므로 도메인 루트에 배포했어요

 

Windows 10 PC에서 그룹정책을 받아와주세요

 

 

다섯번째, 사용자 계정의 속성 값 중 LABS 메뉴에 로컬 관리자 계정의 패스워드 확인

전에는 없었던 LAPS 탭에 정보들이 보이네요

 

로컬 관리자 계정인 o959admin에 대한 패스워드가 난수값으로 입력되어 있어요

해당 패스워드를 이용해서 Win10 PC에 로그인 해볼께요

 

 

정상적으로 로그인 되는 것을 확인할 수 있어요!!

중앙 저장소에서 관리되는 기기에 대한 로컬 관리자 계정 패스워드를 관리할 수 있는

Windows LAPS에 대해 테스트 해봤습니다!