Bereitstellen der Windows LAPS-Richtlinie mit Microsoft Intune

Wenn Sie bereit sind, die Windows Kennwortlösung für lokale Administratoren (Windows LAPS) auf Windows-Geräten zu verwalten, die Sie mit Microsoft Intune verwalten, können die Informationen in diesem Artikel Ihnen helfen, das Intune Admin Center für Folgendes zu verwenden:

• Erstellen Sie eine Intune LAPS-Richtlinie, und weisen Sie sie Geräten zu.
• Anzeigen der Details des lokalen Administratorkontos eines Geräts.
• Rotieren Sie das Kennwort für das verwaltete Konto manuell.
• Berichte für die LAPS-Richtlinie verwenden.

Machen Sie sich vor dem Erstellen von Richtlinien mit den Informationen in der Microsoft Intune-Unterstützung für Windows LAPS vertraut, die Folgendes umfassen:

• Eine Übersicht über die Windows LAPS-Richtlinie und -Funktionen von Intune.
• Die Voraussetzungen für die Verwendung von Intune-Richtlinien für LAPS.
• Die RBAC-Berechtigungen (rollenbasierte Administratorsteuerung), die Ihr Konto zum Verwalten der LAPS-Richtlinie benötigt.
• Häufig gestellte Fragen, die Einblicke in die Konfiguration und Verwendung der Intune LAPS-Richtlinie geben können.

Gilt für:

• Windows

Informationen zur Intune LAPS-Richtlinie

Intune unterstützt die Konfiguration von Windows LAPS auf Geräten über das Windows LAPS-Profil (Local Admin Password Solution) für die Schutzrichtlinie für Endpunktsicherheitskonten.

Intune-Richtlinien verwalten LAPS mithilfe des Windows LAPS-Konfigurationsdienstanbieters (CSP). Windows LAPS-CSP-Konfigurationen haben Vorrang vor vorhandenen Konfigurationen aus anderen LAPS-Quellen, z. B. GPOs oder dem Legacy-Tool von Microsoft LAPS und überschreiben diese.

Windows LAPS ermöglicht die Verwaltung eines einzelnen lokalen Administratorkontos pro Gerät. In der Intune-Richtlinie kann mithilfe der Richtlinieneinstellung Administratorkontoname angegeben werden, für welches lokale Administratorkonto sie gilt. Wenn der in der Richtlinie angegebene Kontoname nicht auf dem Gerät vorhanden ist, wird kein Konto verwaltet. Wenn der Administratorkontoname jedoch leer gelassen wird, wird in der Richtlinie standardmäßig das integrierte lokale Administratorkonto des Geräts verwendet, das durch seinen bekannten relativen Bezeichner (RID) identifiziert wird.

Konfigurieren und zuweisen Sie LAPS-Richtlinien sorgfältig. Der Windows LAPS-CSP unterstützt eine einzelne Konfiguration für jede LAPS-Einstellung auf einem Gerät. Geräte, die mehrere Intune-Richtlinien erhalten, die widersprüchliche Einstellungen enthalten, können die Richtlinie nicht verarbeiten. Konflikte können auch die Sicherung des verwalteten lokalen Administratorkontos und des Kennworts im Verzeichnis Ihres Mandanten verhindern.

Um potenzielle Konflikte zu reduzieren, wird empfohlen, jedem Gerät eine einzelne LAPS-Richtlinie über Gerätegruppen und nicht über Benutzergruppen zuzuweisen. Die LAPS-Richtlinie unterstützt zwar die Zuweisung von Benutzergruppen, kann jedoch dazu führen, dass sich die LAPS-Konfigurationen jedes Mal ändern, wenn sich ein anderer Benutzer bei einem Gerät anmeldet. Sich häufig ändernde Richtlinien können zu Konflikten und mangelnder Gerätekonformität mit den Anforderungen führen und Verwirrung darüber stiften, welches lokale Administratorkonto von einem Gerät gerade verwaltet wird.

Erstellen einer LAPS-Richtlinie

Um LAPS-Richtlinien erstellen oder verwalten zu können, muss Ihr Konto über die entsprechenden Rechte aus der Kategorie Sicherheits-Baseline verfügen. Standardmäßig sind diese Berechtigungen in der integrierten Rolle Endpoint Security Manager enthalten. Um benutzerdefinierte Rollen zu verwenden, stellen Sie sicher, dass die benutzerdefinierte Rolle die Rechte aus der Kategorie Sicherheitsbaselines enthält. Siehe Rollenbasierte Zugriffssteuerungen für LAPS.

Bevor Sie eine Richtlinie erstellen, können Sie Details zu den verfügbaren Einstellungen in der Dokumentation zum Windows LAPS CSP überprüfen.

1. Melden Sie sich beim Microsoft Intune Admin Center an, wechseln Sie zu Endpunktsicherheit>Kontoschutz, und wählen Sie dann "Richtlinie erstellen" aus.

   

   Legen Sie die Plattform auf Windows, Profil auf Lokale Administratorkennwortlösung (Windows LAPS) fest, und wählen Sie dann Erstellen aus.

2. Geben Sie unter Grundlagen die folgenden Eigenschaften ein:

   • Name: Geben Sie einen aussagekräftigen Namen für das Profil ein. Benennen Sie Profile, damit Sie sie später leicht identifizieren können.
   • Beschreibung: Geben Sie eine Beschreibung für das Profil ein. Diese Einstellung ist optional, wird jedoch empfohlen.

3. Konfigurieren Sie in den Konfigurationseinstellungen eine Auswahl für Sicherungsverzeichnis , um den Verzeichnistyp zu definieren, der zum Sichern des lokalen Administratorkontos verwendet werden soll. Sie können auch festlegen, dass Konto und Kennwort nicht gesichert werden sollen. Der Verzeichnistyp bestimmt auch, welche zusätzlichen Einstellungen in dieser Richtlinie verfügbar sind.

   

   Wichtig

   Beachten Sie beim Konfigurieren einer Richtlinie, dass der Sicherungsverzeichnistyp in der Richtlinie vom Verknüpfungstyp des Geräts, dem die Richtlinie zugewiesen ist, unterstützt werden muss. Wenn Sie das Verzeichnis beispielsweise auf Active Directory festlegen und das Gerät nicht der Domäne beigetreten ist (sondern Mitglied von Microsoft Entra ist), kann das Gerät die Richtlinieneinstellungen aus Intune ohne Fehler anwenden, aber LAPS auf dem Gerät kann diese Konfiguration nicht erfolgreich zum Sichern des Kontos verwenden.

   Überprüfen und konfigurieren Sie nach dem Konfigurieren von Backup Directory die verfügbaren Einstellungen entsprechend den Anforderungen Ihrer organization.

4. Wählen Sie auf der Seite Bereichsmarkierungen alle anzuwendenden Bereichsmarkierungen und dann Weiter aus.

5. Wählen Sie für "Aufgaben" die Gruppen aus, die diese Richtlinie erhalten sollen. Es wird empfohlen, Gerätegruppen die LAPS-Richtlinie zuzuweisen. Richtlinien, die Benutzergruppen zugewiesen sind, folgen einem Benutzer von Gerät zu Gerät. Wenn sich der Benutzer eines Geräts ändert, kann eine neue Richtlinie für das Gerät gelten und zu inkonsistentem Verhalten führen, z. B. welches Konto auf dem Gerät gesichert wird oder wann das Kennwort des verwalteten Kontos das nächste Mal rotiert wird.

   Hinweis

   Wie bei allen Intune-Richtlinien versucht Intune, dieses Gerät zu benachrichtigen, wenn eine neue Richtlinie für ein Gerät gilt, um dieses Gerät zum Einchecken und Verarbeiten der Richtlinie zu benachrichtigen.

   Bis ein Gerät erfolgreich bei Intune eingecheckt und seine LAPS-Richtlinie erfolgreich verarbeitet hat, können die Daten über das verwaltete lokale Administratorkonto nicht im Admin Center angezeigt oder verwaltet werden.

   Weitere Informationen zum Zuweisen von Profilen finden Sie unter Zuweisen von Benutzer- und Geräteprofilen.

6. Überprüfen Sie unter Überprüfen + erstellen Ihre Einstellungen, und wählen Sie dann Erstellen aus. Wenn Sie auf Erstellen klicken, werden die Änderungen gespeichert, und das Profil wird zugewiesen. Die Richtlinie wird auch in der Richtlinienliste angezeigt.

Anzeigen des Status der Geräteaktionen

Wenn Ihr Konto über Berechtigungen verfügt, die den Berechtigungen der Sicherheitsbaselines entsprechen, die Rechte für alle Richtlinienvorlagen im Endpunktsicherheitsworkload gewähren, können Sie das Intune Admin Center verwenden, um den Status der Geräteaktionen anzuzeigen, die für das Gerät angefordert wurden.

Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerungen für LAPS.

1. Wechseln Sie im Microsoft Intune Admin Center zu Alle Geräte> , und wählen Sie ein Gerät mit einer LAPS-Richtlinie aus, die ein lokales Administratorkonto sichert. Intune zeigt den Übersichtsbereich des Geräts an.

2. Im Übersichtsbereich des Geräts können Sie den Status der Geräteaktionen anzeigen. Zuvor angeforderte Aktionen und ausstehende Aktionen werden angezeigt, einschließlich des Zeitpunkts der Anforderung und ob die Aktion fehlgeschlagen oder erfolgreich war. Im folgenden Beispielscreenshot wurde das Kennwort für das lokale Admin-Konto eines Geräts erfolgreich rotiert.

   

3. Wenn Sie eine Aktion aus der Liste auswählen, wird der Bereich status Geräteaktion geöffnet, in dem zusätzliche Details zu dieser Aktion angezeigt werden können.

Anzeigen von Konto- und Kennwortdetails

Um Konto- und Kennwortdetails anzuzeigen, muss ein Konto über eine der folgenden Microsoft Entra-Berechtigungen verfügen:

• microsoft.directory/deviceLocalCredentials/password/read
• microsoft.directory/deviceLocalCredentials/standard/read

Verwenden Sie die folgenden Methoden, um Konten diese Berechtigungen zu erteilen:

• Weisen Sie die folgende integrierte Microsoft Entra Rolle zu:
  • Administrator für Cloudgeräte

Erstellen Sie eine benutzerdefinierte Rolle in Microsoft Entra ID, die diese Berechtigungen erteilt, und weisen Sie diese zu. Weitere Informationen finden Sie unter Erstellen und Zuweisen einer benutzerdefinierten Rolle in Microsoft Entra ID in der Dokumentation zu Microsoft Entra.

Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerungen für LAPS.

1. Wechseln Sie im Microsoft Intune Admin Center zu Alle>Geräte> Wählen Sie ein Windows-Gerät aus, um dessen Übersichtsbereich zu öffnen.

   Im Übersichtsbereich können Sie den Status der Geräteaktionen anzeigen. Der Status zeigt aktuelle und vergangene Aktionen an, z. B. die Kennwortrotation.

2. Wählen Sie im Bereich "Geräteübersicht" unter "Monitor " die Option "Lokales Administratorkennwort" aus. Wenn Ihr Konto über ausreichende Berechtigungen verfügt, wird der Bereich "Lokales Administratorkennwort" für das Gerät geöffnet. Dabei handelt es sich um die gleiche Ansicht, die im Azure-Portal zur Verfügung steht.

   

   Die folgenden Informationen können im Admin Center angezeigt werden. Das lokale Administratorkennwort kann jedoch nur angezeigt werden, wenn das Konto in Microsoft Entra gesichert wurde. Sie kann nicht für ein Konto angezeigt werden, das in einem lokalen Active Directory (Windows Server Active Directory) gesichert ist:

   • Kontoname – Der Name des lokalen Administratorkontos, das vom Gerät gesichert wurde.
   • Sicherheits-ID – Die bekannte SID für das Konto, das vom Gerät gesichert wird.
   • Lokales Administratorkennwort – standardmäßig verdeckt. Wenn Ihr Konto über die Berechtigung verfügt, können Sie Anzeigen auswählen, um das Kennwort anzuzeigen. Anschließend können Sie die Option Kopieren verwenden, um das Passwort in die Zwischenablage zu kopieren. Diese Informationen sind für Geräte, die in einem lokalen Active Directory gesichert werden, nicht verfügbar.
   • Letzte Kennwortrotation : In UTC das Datum und die Uhrzeit, zu der das Kennwort zuletzt durch eine Richtlinie geändert oder rotiert wurde.
   • Nächste Kennwortrotation : In UTC das nächste Datum und die nächste Uhrzeit, zu der das Kennwort gemäß Richtlinie rotiert wird.

Im Folgenden finden Sie Überlegungen zur Anzeige von Gerätekonto- und Kennwortinformationen:

• Durch das Abrufen (Anzeigen) des Kennworts für ein lokales Administratorkonto wird ein Überwachungsereignis ausgelöst.

• Für die folgenden Geräte können Sie keine Kennwortdetails anzeigen:

  • Geräte, bei denen ihr lokales Administratorkonto in einem lokalen Active Directory gesichert ist
  • Geräte, die für die Verwendung von Active Directory zum Sichern des Kontokennworts festgelegt sind.

Manuelles Rotieren von Kennwörtern

Die LAPS-Richtlinie enthält einen Zeitplan für das automatische Rotieren von Kontokennwörtern. Zusätzlich zu einer geplanten Rotation können Sie die Intune-Geräteaktion "Lokales Administratorkennwort rotieren" verwenden, um ein Gerätekennwort manuell zu rotieren, unabhängig von dem von der LAPS-Richtlinie des Geräts festgelegten Rotationszeitplan.

Um diese Geräteaktion verwenden zu können, muss Ihr Konto über die folgenden drei Intune-Berechtigungen verfügen:

• Verwaltete Geräte: Lesen
• Organisation: Lesen
• Remoteaufgaben: Lokales Admin-Kennwort rotieren

Siehe Rollenbasierte Zugriffssteuerungen für LAPS.

So rotieren Sie ein Kennwort

1. Wechseln Sie im Microsoft Intune Admin Center zu Alle Geräte>, und wählen Sie das Windows-Gerät mit dem Konto aus, das Sie rotieren möchten.

2. Erweitern Sie beim Anzeigen der Gerätedetails die Auslassungspunkte (...) auf der rechten Seite der Menüleiste, um die verfügbaren Optionen anzuzeigen, und wählen Sie dann "Lokales Administratorkennwort drehen" aus.

   

3. Wenn Sie "Lokales Administratorkennwort rotieren" auswählen, zeigt Intune eine Warnung an, die eine Bestätigung erfordert, bevor das Kennwort rotiert wird.

   Nachdem Sie die Absicht zum Rotieren des Kennworts bestätigt haben, startet Intune den Vorgang, der einige Minuten dauern kann. Während dieser Zeit werden im Bereich "Gerätedetails" ein Banner und der Status "Geräteaktionen" angezeigt, die angeben, dass die Aktion aussteht.

Nach erfolgreicher Drehung wird die Bestätigung im Status der Geräteaktionen als abgeschlossen angezeigt.

Im Folgenden finden Sie einige Überlegungen zur manuellen Passwortrotation:

• Die Aktion "Lokales Administratorkennwort schützen " ist für alle Windows-Geräte verfügbar, aber jedes Gerät, das seine Konto- und Kennwortdaten nicht erfolgreich gesichert hat, kann eine Rotationsanforderung nicht abschließen.

• Jeder manuelle Rotationsversuch führt zu einem Überwachungsereignis. Geplante Kennwortrotationen protokollieren auch ein Überwachungsereignis.

• Wenn ein Kennwort manuell rotiert wird, wird die Zeit bis zur nächsten geplanten Kennwortrotation zurückgesetzt. Die Zeit bis zur nächsten geplanten Rotation wird über die Einstellung "PasswordAgeDays" in der LAPS-Richtlinie verwaltet.

  So funktioniert es: Ein Gerät erhält am 1. März eine Richtlinie, die PasswordAgeDays auf 10 Tage festlegt. Das Ergebnis ist, dass das Gerät sein Kennwort nach 10 Tagen, am 11. März, automatisch rotiert. Am 5. März rotiert ein Administrator das Kennwort dieses Geräts manuell und eine Aktion, die das Startdatum für PasswordAgeDays auf den 5. März zurücksetzt. Dadurch rotiert das Kennwort des Geräts nun automatisch 10 Tage später, am 15. März.

• Bei Geräten, die mit Microsoft Entra verbunden sind, muss das Gerät zum Zeitpunkt der Anforderung der manuellen Drehung online sein. Wenn das Gerät zum Zeitpunkt der Anforderung nicht online ist, führt dies zu einem Fehler.

• Die Kennwortrotation wird als Massenaktion nicht unterstützt. Sie können jeweils nur ein einzelnes Gerät drehen.

Vermeiden von Richtlinienkonflikten

Die folgenden Details können Ihnen helfen, Konflikte zu vermeiden und das erwartete Verhalten von Geräten zu verstehen, die mit der LAPS-Richtlinie verwaltet werden.

Wenn einem Gerät mit erfolgreicher Richtlinie zwei oder mehr Richtlinien zugewiesen werden, die einen Konflikt verursachen:

• Einstellungen, die auf dem Gerät verwendet wurden, verbleiben mit dem zuletzt festgelegten Wert auf dem Gerät. Beide Richtlinien, die ursprüngliche und die neue, stehen im Konflikt.
• Um den Konflikt zu beheben, entfernen Sie entweder Richtlinienzuweisungen, bis die widersprüchliche Richtlinie nicht mehr gilt, oder konfigurieren Sie die anwendbaren Richtlinien neu, um dieselbe Konfiguration festzulegen und den Konflikt zu beseitigen.

Wenn ein Gerät ohne LAPS-Richtlinie zwei in Konflikt stehende Richtlinien gleichzeitig erhält:

• Einstellungen werden nicht an das Gerät gesendet, und beide Richtlinien werden als in Konflikt stehend gemeldet.
• Solange ein Konflikt besteht, gelten die Einstellungen aus den Richtlinien nicht für das Gerät.

Um Konflikte zu lösen, müssen Sie entweder Richtlinienzuweisungen vom Gerät entfernen oder Einstellungen in den entsprechenden Richtlinien neu konfigurieren, bis keine Konflikte mehr verbleiben.

Verwandte Inhalte

• Einführung in die Intune-Richtlinie für LAPS
• Berichte für LAPS anzeigen
• Kontoschutzrichtlinie für Endpunktsicherheit in Intune