Microsoft Intune-támogatás a Windows LAPS-hez

Minden Windows rendszerű gép rendelkezik egy beépített helyi rendszergazdai fiókkal, amely nem törölhető, és amely teljes engedélyekkel rendelkezik az eszközhöz. A fiók biztonságossá tétele fontos lépés a szervezet biztonságának megőrzéséhez. A windowsos eszközökön megtalálható a Windows helyi rendszergazdai jelszó megoldás (LAPS), amely a helyi rendszergazdai fiókok kezelését segítő beépített megoldás.

A Microsoft Intune végpontbiztonsági házirendjeivel kezelheti a LAPS-t az Intune-ban regisztrált eszközökön. Az Intune-házirendek:

  • Jelszókövetelmények érvényesítése a helyi rendszergazdai fiókokhoz
  • Helyi rendszergazdai fiók biztonsági mentése az eszközökről az Active Directory (AD) vagy a Microsoft Entra szolgáltatásba
  • Ütemezheti a fiókjelszavak rotációját, hogy biztonságban tudják őket tartani.

A felügyelt helyi rendszergazdai fiókok adatait is megtekintheti a Intune Rendszergazda központban, és az ütemezett rotáción kívül manuálisan elforgathatja a fiókok jelszavát.

Az Intune LAPS-szabályzatok használatával megvédheti a windowsos eszközöket a helyi felhasználói fiókok kihasználására irányuló támadásoktól, például a kivonat átadását vagy az oldalirányú bejárási támadásokat. A LAPS Intune-nal való kezelése emellett segíthet a távoli segélyszolgálati forgatókönyvek biztonságának javításában és az egyébként elérhetetlen eszközök helyreállításában.

Az Intune LAPS-házirend kezeli a Windows LAPS CSP-ből elérhető beállításokat. Az Intune CSP-használata felváltja az örökölt Microsoft LAPS vagy más LAPS felügyeleti megoldások használatát, és a CSP-alapú elsőbbséget élvez az egyéb LAPS-felügyeleti forrásokkal szemben.

A Windows LAPS Intune-támogatása a következő képességeket tartalmazza:

  • Jelszókövetelmények beállítása – Megadhatja az eszközön használt helyi rendszergazdai fiók jelszókövetelményeit, beleértve az összetettséget és a hosszt.
  • Jelszavak elforgatása – A házirenddel beállíthatja, hogy az eszközök ütemezés szerint automatikusan elforgatják a helyi rendszergazdai fiókok jelszavát. Az Intune Felügyeleti központban eszközműveletként manuálisan is elforgathatja egy eszköz jelszavát.
  • Fiókok és jelszavak biztonsági mentése – Dönthet úgy, hogy az eszközök biztonsági másolatot készítsenek fiókjukról és jelszavukról a felhőbeli Microsoft Entra ID-ban vagy a helyi Active Directory. A jelszavak tárolása erős titkosítással történik.
  • Automatikus fiókkezelés – (a Windows 11 24H2-es és újabb verzióiban támogatott) – Egyszerűsítheti a beépített rendszergazdai fiók vagy a megadott egyéni fiók kezelését. Az automatikus fiókkezelési lehetőségek támogatják a megadott fiók letiltását vagy engedélyezését, valamint a fióknév vagy -előtag véletlenszerű létrehozását. Az automatikus fiókkezelés használata a LAPS-fiókok illetéktelen módosítása elleni védelmet is kibővíti.
  • Utóhitelesítési műveletek konfigurálása – Határozza meg azokat a műveleteket, amelyeket az eszköz akkor hajt végre, ha lejár a helyi rendszergazdai fiók jelszava. A műveletek a felügyelt fiók alaphelyzetbe állításától egy új biztonságos jelszó használatáig, a fiókból való kijelentkezéstől vagy mindkettő elvégzésétől az eszköz kikapcsolásáig terjednek. Azt is beállíthatja, hogy az eszköz mennyi ideig várjon a jelszó lejárta után a műveletek elvégzésével.
  • Fiók részleteinek megtekintése – A megfelelő szerepköralapú felügyeleti (RBAC) engedélyekkel rendelkező Intune-rendszergazdák megtekinthetik az eszközök helyi rendszergazdai fiókjának adatait és aktuális jelszavát. Azt is láthatja, hogy mikor forgatta el utoljára a jelszót (alaphelyzetbe állítás), és mikor ütemezték legközelebb.
  • Jelentések megtekintése – Az Intune jelentéseket biztosít a jelszavak rotálásáról, beleértve a múltbeli manuális és ütemezett jelszórotáció részleteit.

Ha szeretne részletesebb tájékoztatást kapni a Windows LAPS-ről, kezdje a Windows dokumentációjának következő cikkeivel:

  • Mi a Windows LAPS? - Bevezetés a Windows LAPS-be és a Windows LAPS dokumentációkészletébe.
  • Windows LAPS CSP – Megtekintheti a LAPS-beállítások és -lehetőségek részleteit. A LAPS-hez készült Intune-házirend ezekkel a beállításokkal konfigurálja a LAPS CSP-t az eszközökön.

Érintett szolgáltatás:

  • A Windows

Előfeltételek

Az alábbiak az Intune követelményei, hogy támogassa a Windows LAPS-t a bérlőjén:

Licencelési követelmények

  • Intune-előfizetésMicrosoft - Intune 1-es csomag, amely az alapszintű Intune-előfizetés. A Windows LAPS szolgáltatást az Intune ingyenes próba-előfizetésével is használhatja.

  • Microsoft Entra IDMicrosoft - Entra ID Free, amely a Microsoft Entra ID ingyenes verziója, amely az Intune-ra való előfizetéskor szerepel. A Microsoft Entra ID Free segítségével a LAPS összes funkcióját használhatja.

Active Directory támogatás

A Windows LAPS-hez készült Intune-házirend konfigurálhatja az eszközöket úgy, hogy biztonsági másolatot készítsenek a helyi rendszergazdai fiókról és jelszóról a következő címtártípusok egyikébe:

Megjegyzés:

A munkahelyhez csatlakoztatott (WPJ) eszközöket az Intune for LAPS nem támogatja.

  • Felhő – A felhő a következő esetekben támogatja a Microsoft Entra ID biztonsági mentését:

  • Helyszíni – A helyszíni támogatja a Windows Server Active Directory (helyi Active Directory) biztonsági mentését.

    Fontos

    Windows-eszközökön a LAPS konfigurálható az egyik vagy a másik címtártípus használatára, de nem mindkettőre. Vegye figyelembe azt is, hogy a biztonsági mentési könyvtárat támogatnia kell az eszközök csatlakozási típusának – ha a címtárat helyi Active Directory állítja be, és az eszköz nincs tartományhoz csatlakoztatva, az elfogadja az Intune házirend-beállításait, de a LAPS nem tudja sikeresen használni ezt a konfigurációt.

Eszköz kiadása és platformja

Az eszközök bármilyen olyan Windows-kiadással rendelkezhetnek, amelyet az Intune támogat, de a Windows LAPS CSP támogatásához az alábbi verziók egyikét kell futtatniuk:

  • Windows 11, 22H2-es verzió (22621.1555-ös vagy újabb) KB5025239
  • Windows 11, 21H2-es verzió (22000.1817 vagy újabb) KB5025224
  • Windows 10, 22H2-es verzió (19045.2846 vagy újabb) KB5025221
  • Windows 10, 21H2-es verzió (19044.2846 vagy újabb) KB5025221
  • Windows 10, 20H2-es verzió (19042.2846 vagy újabb) KB5025221
  • Windows 10 Enterprise LTSC 2019 és újabb LTSC-verziók

Fontos

2025. október 14-én a Windows 10 támogatása megszűnt, és nem kapja meg a minőségi és funkciófrissítéseket. A Windows 10 engedélyezett verzió az Intune-ban. Az ezt a verziót futtató eszközök továbbra is regisztrálhatók az Intune-ban, és használhatják a jogosult funkciókat, de a működés nem lesz garantált, és változhat.

GCC High támogatás

A Windows LAPS-hez készült Intune-házirend támogatott a GCC High-környezetekben.

Szerepköralapú hozzáférés-vezérlés LAPS-szolgáltatáshoz

A LAPS kezeléséhez egy fióknak megfelelő szerepköralapú hozzáférés-vezérlési (RBAC) engedéllyel kell rendelkeznie a kívánt feladat elvégzéséhez. Az alábbiakban az elérhető feladatok láthatók a szükséges engedélyekkel:

  • LAPS-házirend létrehozása és elérése – Az LAPS-házirendek használatához és megtekintéséhez a fiókjához megfelelő engedélyeket kell rendelni az Intune RBAC kategóriából a biztonsági alapkonfigurációkhoz. Alapértelmezés szerint ezek szerepelnek az Intune beépítettEndpoint Security Manager szerepkörében. Egyéni Intune RBAC-szerepkörök használatához győződjön meg arról, hogy az egyéni szerepkör tartalmazza a Biztonsági alapkonfigurációk kategóriában található jogokat.

  • Helyi rendszergazdai jelszó elforgatása – Ha az Intune felügyeleti központban szeretné megtekinteni vagy elforgatni az eszközök helyi rendszergazdai fiókjának jelszavát, a fiókjához a következő Intune-engedélyekkel kell rendelkeznie:

    • Felügyelt eszközök: Olvasás

    • Szervezet: Olvasás

    • Távoli feladatok: Helyi Rendszergazda jelszavának elforgatása

      Fontos

      A helyi rendszergazda jelszavának elforgatása távoli feladatok műveletét egyik beépített Intune-szerepkör sem tartalmazza, illetve a Microsoft Entra beépített Intune-rendszergazdai szerepköre. Ehelyett egy egyéni Intune-szerepkörrel rendelje hozzá ezt az engedélyt azokhoz a felhasználókhoz, akiknek rendelkezniük kell ezzel a képességgel.

  • Helyi rendszergazdai jelszó lekérése – A jelszó részleteinek megtekintéséhez a fiókjának a következő Microsoft Entra-engedélyek egyikével kell rendelkeznie:

    • microsoft.directory/deviceLocalCredentials/password/read a LAPS-metaadatok és jelszavak olvasásához.
    • microsoft.directory/deviceLocalCredentials/standard/read a LAPS-metaadatok olvasásához a jelszavak kivételével.

    Ha olyan egyéni szerepköröket szeretne létrehozni, amelyek megadhatják ezeket az engedélyeket, lásd az Egyéni szerepkör létrehozása és hozzárendelése a Microsoft Entra ID-ban című részt a Microsoft Entra dokumentációjában.

  • A Microsoft Entra naplóinak és eseményeinek megtekintése – A LAPS-házirendek és a legutóbbi eszközműveletek, például a jelszórotációs események részleteinek megtekintéséhez a fióknak a beépített Intune Írásvédett operátor szerepkörével egyenértékű engedélyekre van szüksége.

Az Intune beépített és egyéni szerepköreivel kapcsolatos további információkért lásd: Szerepköralapú hozzáférés-vezérlés a Microsoft Intune-hoz.

LAPS-architektúra

A Windows LAPS architektúrával kapcsolatos további információkért lásd a Windows dokumentációjának Windows LAPS architektúráját .

Gyakori kérdések

Használhatom az Intune LAPS-házirendet bármely helyi rendszergazdai fiók kezelésére egy eszközön?

Igen, Az Intune LAPS-házirenddel bármely helyi rendszergazdai fiókot kezelheti egy eszközön. A LAPS azonban eszközönként csak egy fiókot támogat:

  • Ha egy házirend nem határozza meg a fiók nevét, az Intune az alapértelmezett beépített rendszergazdai fiókot kezeli, függetlenül annak aktuális nevétől az eszközön.
  • Az eszköz Intune által felügyelt fiókot módosíthatja az eszközhöz rendelt házirend módosításával, vagy az aktuális házirend szerkesztésével egy másik fiók megadásához.
  • Ha két különálló házirend van hozzárendelve egy eszközhöz, és mindkettő eltérő fiókot ad meg, ütközés áll fenn, amelyet fel kell oldani az eszköz fiókjának kezelése előtt.

Mi történik, ha LAPS-házirendet telepítek az Intune-nal egy olyan eszközre, amely már rendelkezik egy másik forrásból származó LAPS-konfigurációkkal?

Az Intune CSP-alapú házirendje felülbírálja a LAPS-szabályzat összes többi forrását, például a csoportházirend-objektumokat vagy az örökölt Microsoft LAPS konfigurációit. További információt a Windows LAPS dokumentációjának Támogatott házirendek gyökerei című részében talál.

Létrehozhat a Windows LAPS helyi rendszergazdai fiókokat a LAPS-házirenddel konfigurált rendszergazdai fióknév alapján?

A Windows 11 24H2-vel kezdődően a Windows LAPS-t az új automatikus fiókkezelési móddal konfigurálhatja a beépített helyi rendszergazdai fiók kezelésére, vagy létrehozhat egy új, egyéni fiókot, amelyet aztán az kezel. Az alacsonyabb verziójú Windows-verziókban a Windows LAPS csak azokat a fiókokat tudja kezelni, amelyek már megtalálhatók az eszközön.

Megjegyzés:

Ha manuális fiókkezelési módot vagy Windows LAPS-t használ a Windows 11 23H2-es vagy korábbi verzióját futtató eszközökön, az eszközön nem létező fióknév megadása nincs hatással, és nem generál hibát.

A Windows LAPS elforgatja a Microsoft Entra-ban letiltott eszköz jelszavát, és készít biztonsági másolatot róla?

Nem. A Windows LAPS megköveteli, hogy az eszköz engedélyezett állapotban legyen ahhoz, hogy a jelszó elforgatását és a biztonsági mentési műveleteket alkalmazhassa.

Mi történik, ha törölnek egy eszközt a Microsoft Entrában?

Amikor töröl egy eszközt a Microsoft Entra-ban, az eszközhöz kapcsolt LAPS-hitelesítő adatok és a Microsoft Entra ID-ban tárolt jelszó is elvesznek. Hacsak nem rendelkezik egyéni munkafolyamattal a LAPS-jelszavak lekéréséhez és külső tárolásához, a Microsoft Entra ID nem biztosít módszert a törölt eszközök LAPS felügyelt jelszavának helyreállítására.

Milyen szerepkörök szükségesek a LAPS-jelszavak helyreállításához?

A következő beépített Microsoft Entra-szerepkörök rendelkeznek engedéllyel a LAPS-jelszavak helyreállítására: Felhőeszköz-rendszergazda és Intune-rendszergazda.

Milyen szerepkörök szükségesek a LAPS-metaadatok olvasásához?

A következő beépített Microsoft Entra-szerepkörök támogatottak a LAPS-metaadatok megtekintéséhez, beleértve az eszköz nevét, a legutóbbi jelszó elforgatását és a következő jelszó rotációját:

  • Biztonsági olvasó

Az alábbi szerepköröket is használhatja:

  • Felhőbeli eszköz rendszergazdája
  • Intune-rendszergazda
  • Ügyfélszolgálati adminisztrátor
  • Biztonsági rendszergazda

Miért szürkén jelenik meg és nem érhető el a helyi rendszergazda jelszava gomb?

Jelenleg az ehhez a területhez való hozzáféréshez a helyi rendszergazdai jelszó elforgatása Intune engedélyre van szükség. Lásd: Szerepköralapú hozzáférés-vezérlés a Microsoft Intune-ban.

Mi történik, ha a házirendben megadott fiók módosul?

Mivel a Windows LAPS egyszerre csak egy helyi rendszergazdai fiókot képes kezelni egy eszközön, az eredeti fiókot már nem kezeli a LAPS-házirend. Ha a szabályzat biztonsági másolatot készít a fiókról az eszközön, a rendszer biztonsági másolatot készít az új fiókról, és az előző fiók részletei már nem érhetők el az Intune Felügyeleti központban vagy a fiókadatok tárolására megadott címtárban.

Következő lépések

  • Utolsó frissítés időpontja: