Windows LAPS: parola okuma yetkisini ayrı bir gruba vermek
Domain Admin vermeden yerel yönetici parolalarına kontrollü erişim: Windows LAPS okuma yetkisini ayrı bir gruba devretmek ve yetkileri denetlemek.
Windows LAPS (Local Administrator Password Solution), her bilgisayarın yerel yönetici parolasını otomatik olarak değiştirir ve Active Directory'de saklar. Asıl soru şudur: o parolayı kim okuyabilir? Cevap "Domain Admins" ise destek ekibinin bir parolaya bakabilmesi için gereğinden geniş yetki taşıması gerekir.
Hedef
- Parolayı okuma yetkisi yalnızca bu iş için oluşturulmuş bir gruba verilir (örnek:
LAPS-Readers). - Yetki, ilgili bilgisayarların bulunduğu OU seviyesinde tanımlanır.
- Kimin okuyabildiği düzenli olarak denetlenir.
Mevcut durumu görün
Değişiklikten önce, bugün kimlerin okuyabildiğine bakın:
Import-Module LAPS
Find-LapsADExtendedRights -Identity "OU=Workstations,DC=example,DC=local"
Çıktıda beklemediğiniz kullanıcılar ya da geniş gruplar görüyorsanız, düzeltilecek ilk yer orasıdır.
Okuma yetkisini devredin
# 1) Gruba OU üzerinde parola okuma yetkisi ver
Set-LapsADReadPasswordPermission `
-Identity "OU=Workstations,DC=example,DC=local" `
-AllowedPrincipals "EXAMPLE\LAPS-Readers"
# 2) Bilgisayarların kendi parolalarını AD'ye yazabilmesi (ilk kurulumda gerekir)
Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=example,DC=local"
Yetki verilen grubun üyesi artık parolayı şöyle okuyabilir:
Get-LapsADPassword -Identity "PC-0142" -AsPlainText
Kullanımı kolaylaştırın
Destek ekibi her seferinde PowerShell komutu yazmak istemez. Küçük bir Windows Forms arayüzü (bilgisayar adı → parolayı göster / kopyala / süre dolumunu göster) işi hızlandırır. Önemli olan, arayüzün yetkiyi kendisi taşımaması: araç, onu çalıştıran kullanıcının kimliğiyle sorgu yapar. Grupta olmayan biri aracı açsa da parolayı göremez.
Denetim
- Grup üyeliğini periyodik olarak gözden geçirin.
- Windows LAPS olay günlüğünde (
Applications and Services Logs > Microsoft > Windows > LAPS) parola güncellemelerini izleyin. - Parola okunduktan sonra kısa sürede yenilenmesini istiyorsanız LAPS'in post-authentication eylemlerini politikayla yapılandırın.
Ders
Least privilege bir slogan değil, bir yapılandırma işidir: herkes Domain Admin olmak zorunda değil. Parola yetkisi ayrı bir role bağlandığında hem saldırı yüzeyi küçülür hem de "kim, neyi okuyabiliyor?" sorusunun net bir cevabı olur.