Resolviendo el lío de la administración local

 Una de las medidas básicas de la seguridad de la información tiene que ver con cuentas es aplicar el principio del mínimo privilegio (PoLP).  Ya mucho de ha hablado de este tema e incluso tiene una entrada en Wikipedia: https://en.wikipedia.org/wiki/Principle_of_least_privilege

El principio dice que los usuarios y los procesos deben ejecutarse con el mínimo de privilegios posibles y es aquí donde entran las cuentas de usuarios.

Una mala práctica es dejar que los usuarios sean administradores de sus estaciones de trabajo, ya que tendrían el control total de una parte del sistema corporativo que potencialmente podría poner en riesgo a la organización completa. No solo temas de seguridad, sino que también se daría la posibilidad que los usuarios usen sus equipos para fines personales como jugar, especialmente cuando se entregan dispositivos de última generación con características de hardware de sobra para ejecutar el último juego publicado. 

Lo comento, porque donde trabajo he visto esta situación y llegamos, en cojunto con la decisión de la plana gerencial, a que los usuarios no deben tener privilegios sobre sus equipos y que la instalación de las aplicaciones se iba a resolver a través de un ticket.

El problema radica en que son algo así como 120 usuarios y teníamos que configurar las cuentas de usuario. Para esta tarea utilizamos el combo Active Directory + System Center ConfigMgr. Tenemos usuarios que no van a la oficina por contrato remoto y otros que están de manera híbrida. La creación de la cuenta fue resuelta con el combo y ahora venía el drama de la contraseña y la disponibilidad del equipo de TI para resolver las necesidades. (La cuenta debe formar parte del grupo de admins local)

LAPS (Local Administration Password Solution) Viene incluido en Windows Server 2022 y consiste en que la contraseña de administrador local (creada en el paso anterior) queda almacenada en el dominio donde se pueden gestionar la rotación y el vencimiento.

Implementar LAPS es una tarea sencilla. Más de una hora no tomará la instalación, que consiste en una extensión del esquema y habilitar las OU para que puedan manejar las contraseñas. Lo que toma tiempo es que la GPO que hace la configuración en los equipos haga efecto en el equipo, pero nada que un gpupdate /force no pueda solucionar.

Cada vez que un usuario requiera de privilegios de administración, se le entrega la contraseña almacenada en el dominio y se puede definir su expiración. Si quieres que la contraseña sea rotada, puedes generar una tarea programada en los equipos de cliente y cada una hora que haga una rotación.

No explicaré como es el proceso, pero pueden encontrar información aquí https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-scenarios-windows-server-active-directory , en links de Google y tutoriales en Youtube que explicarán mejor que yo :) 

LAPS fue la solución. LAPS será tu solución para manejar contraseñas de admin local de los usuarios.

Hasta la próxima.