Schlagwort-Archive: Windows 8.1

Local Administrator Password Management installieren und konfigurieren

Veröffentlicht am von
Antworten

Am 1. Mai 2015 hat Microsoft das Local Administrator Password Management veröffentlicht, mit dem lokale Administrator-Passwörter einfach verwaltet werden können. Dafür werden in AD DS zwei Attribute hinzugefügt:

  • ms-MCS-AdmPwd
  • ms-MCS-AdmPwdExpirationTime

Diese speichern das Passwort und das Ablaufdatum des Passwortes. Ist das Ablaufdatum erreicht, wird beim nächsten Gruppenrichtlinien-Update am Client das Passwort erneuert. Für die Verwaltung gibt es einen Client (LAPS UI) und ein eigenes PowerShell-Modul. Am Client selbst wird eine Client Side Extension (CSE) für die Gruppenrichtlinien installiert.

Gruppenrichtlinien-Vorlagen und das PowerShell-Modul installieren

  1. Als Administrator an DC1 anmelden
  2. Folgende Dateien von Microsoft security advisory: Local Administrator Password Solution (LAPS) now available: May 1, 2015 nach C:\Sourcen herunterladen
    1. LAPS.x86.msi
    2. LAPS.x64.msi
    3. LAPS_Datasheet.docx
    4. LAPS_OperationsGuide.docx
    5. LAPS_TechnicalSpecification.docx
  3. LAPS.x64.msi doppelklicken
  4. Local Administrator Password Solution Setup
    1. Welcome… > Next
    2. License Agreement > Accept > Next
    3. Custom Setup
      1. PowerShell module
      2. GPO Editor templates > Next
        LAPS-001
    4. Ready to install > Install
    5. Complete > Finish
  5. Zum Ordner C:\Windows\PolicyDefinitions wechseln
  6. Folgende Dateien nach \\intern\SYSVOL\intern.einfaches-netzwerk.at\Policies\PolicyDefinitions kopieren
    1. AdmPwd.admx
    2. en-US\AdmPwd.adml
      LAPS-011
  7. Alle Fenster schließen

Sicherheitsgruppe in AD erstellen und Berechtigungen konfigurieren

  1. Server Manager > Tools > Active Directory Users and Computers (ADUC)
  2. intern.einfaches-netzwerk.at/Einfaches-Netzwerk/Sicherheitsgruppen erweitern
  3. Folgende Sicherheitsgruppe erstellen
    1. PwdAdmins
  4. USER1 zur Gruppe PwdAdmins hinzufügen
    LAPS-008
  5. Fenster minimieren, nicht schließen
  6. PowerShell (Admin) starten
  7. Mit folgendem Befehl das PowerShell-Modul für das Local Administrator Password Management importieren 
    Import-Module AdmPwd.PS
  8. Mit folgendem Befehl das Active Directory-Schema erweitern 
    Update-AdmPwdADSchema
  9. PowerShell
    LAPS-003
  10. Mit folgendem Befehl die Benutzer und Gruppen mit erweiterten Rechten auf die OU Arbeitsstationen ermitteln 
    Find-AdmPwdExtendedRights -Identity Arbeitsstationen
  11. Der Benutzer INTERN\osd_join hat erweiterte Rechte
    LAPS-004
  12. Die ADUC-Konsole wiederherstellen
  13. Die OU Arbeitsstationen rechts anklicken > Properties
  14. Auf den Reiter Security wechseln > Advanced
  15. OSD_Join markieren > Edit
    LAPS-005
  16. Permission Entry for Arbeitsstationen
    1. Applies to: This object and all descendant objects
    2. All extended rights deaktivierenLAPS-006 Weiterlesen →

Teil 28d: Arbeitsordner und Workplace join

Veröffentlicht am von
Antworten

Ein durchaus gebräuchliches Szenario ist private Devices auch dienstlich zu verwenden. In diesem Teil möchte ich mit einem Windows 8.1-Rechner, welcher nicht Mitgied der Domäne ist, auf den Arbeitsordner zugreifen. So, wie ich es mit meinem privaten Notebook machen würde. Um die Passwortabfragen zu minimieren, werde ich dem Arbeitsplatz beitreten (Workplace join), das Device der Domäne „bekannt“ machen.

Arbeitsordner und Workplace join – Schritte:

  • Mit Windows 8.1 dem Arbeitsplatz beitreten

Mit Windows 8.1 dem Arbeitsplatz beitreten

Weil ich keine öffentlichen Zertifikate für AD FS und die Arbeitsordner verwendet habe, muss ich die Zertifikate für meine Root CA und SubCA1 am Rechner installieren. Sonst wird diesen Zertifikaten nicht vertraut.

  1. Am Windows 8.1-Rechner anmelden
  2. Mit dem Internet Explorer http://pki.einfaches-netzwerk.at/CertEnroll aufrufen
  3. Die Zertifikate für die Root CA und SubCA1 (crt-Dateien) installieren
  4. Start > Einstellungen > PC-Einstellungen ändern
    WAP_024
  5. Netzwerk > Arbeitsplatz
    1. Benutzer-ID: user1@intern.einfaches-netzwerk.at > Beitreten
      WAP_025
  6. Connecting to Einfaches-Netzwerk ADFS
    1. Passwort: Password1 > Anmelden
      WAP_026
  7. Der Rechner wurde dem Arbeitsplatznetzwerk hinzugefügt 🙂
    WAP_027
  8. Arbeitsordner einrichtenWAP_016

In Active Directory wurde das Device als bekannt registriert (das Device ist KEIN Domänenmitglied, es ist der Domäne nur bekannt)
WAP_028

Durch den Beitritt wird eine zweistufige Authentifizierung erreicht und die Häufigkeit der Passwortabfagen wird reduziert. Testen kann man das gut mit einem Klick auf Anmeldeinformationen verwalten in der Systemsteuerung > System und Sicherheit > Arbeitsordner (linke Seite).

Welche Freunde! Es funktioniert! 🙂

Teil 28c: Web Application Proxy installieren und konfigurieren

Veröffentlicht am von
Antworten

Damit die Arbeitsordner im Internet verwendet werden können, fehlt noch der Reverse Proxy. Ich verwende den in Windows verfügbaren Web Application Proxy. Installieren werde ich den Web Application Proxy am Server WAP1, der über zwei Netzwerkkarten (einmal im Intra- und einmal im Internet) verfügt und nicht zur Domäne hinzugefügt wurde.

Web Application Proxy installieren und konfigurieren – Schritte:

  • Server-Rolle Remote Access installieren
  • Web Application Proxy konfigurieren
  • Arbeitsordner veröffentlichen
  • AuthO aktivieren und update Deviceregistration
  • Mit der Hosts-Datei die internen IP-Adressen für AD FS und Arbeitsordner erzwingen
  • Die Arbeitsordner für die Authentifizierung mittels ADFS konfigurieren

Server-Rolle Remote Access installieren

  1. Als lokaler Administrator an WAP1 anmelden
  2. Die SSL-Zertifikate (adfs.pfx und arbeitsordner.pfx) von \\APP1\Sourcen\ADFS in den Personal Store des Computerkontos importieren
    WAP_001
  3. Server Manager > Manage > Add Roles and Features
  4. Add Roles and Features Wizard
    1. Before You Begin > Next
    2. Installation Type: Role-based or feature-based installation > Next
    3. Server Selection: WAP1 > Next
    4. Server Roles: Remote Access > Next
      WAP_002
    5. Features > Next
    6. Remote Access > Next
      1. Role Services: Web Application Proxy > Next > Add Features > Next
        WAP_003
    7. Confirmation > Install
    8. Results > Finish

Web Application Proxy konfigurieren

  1. Server Manager > Notifications > Open the Web Application Proxy Wizard
    WAP_004
  2. Web Application Proxy Configuration Wizard
    1. Welcome > Next
    2. Federation Server
      1. Federation service name: adfs.einfaches-netzwerk.at
      2. User name: Administrator (lokaler Administrator auf ADFS1!)
      3. Password: Password1 > Next
        WAP_005
    3. AD FS Proxy Certificate: adfs1.intern.einfaches-netzwerk.at > Next
      WAP_006
    4. Confirmation > PublishWAP_013
    5. Results > Close
      WAP_014

Arbeitsordner veröffentlichen

  1. Server Manager > Tools > Remote Access Management
  2. Auf der linken Seite auf Configuration\Web Application Proxy klicken
  3. Auf der rechten Seite auf Publish klicken
    WAP_009
    Weiterlesen →