LAPS ou Local Admin Password Solution est une solution développée par Microsoft qui permet de gérer un mot de passe local de chaque ordinateur d'un domaine Active Directory de façon individuel et autonome. Cet article ne couvrira pas la mise en place de LAPS ni son modèle de délégation, mais se focalisera sur la délégation de la récupération d'un mot de passe LAPS d'un objet ordinateur supprimé.
Important : la corbeille Active Directory doit être activée pour récupérer le mot de passe LAPS d'un ordinateur supprimé.
Les méthodes par défaut pour lire le mot de passe LAPS d'un ordinateur supprimé
Par ordre de simplicité, les méthodes classiques sont :
- Utiliser la console Active Directory Administative Center
- Utiliser la cmdlet PowerShell Get-ADObject avec le paramètre -IncludeDeleteObjects
- Utiliser l'utilitaire LDP.exe
Pourquoi ne pas utiliser une de ces méthodes pour lire les mots de passe LAPS des ordinateurs supprimés ? Parce que les droits nécessaires sont Domain Admin. Seul un nombre restreint d'administrateurs doit être membre de ce groupe à haut privilège.
Déléguer la lecture du mot de passe LAPS d'un ordinateur supprimé
Les tâches suivantes doivent être réalisées avec un utilisateur membre du groupe Domain Admin
1. Vérifier que l'utilisateur à la possibilité de voir et modifier les objets dans la corbeille AD
Dans une invite de commande exécuter en tant qu'administrateur, saisir la commande suivante :
dsacls "CN=Deleted Objects,DC=contoso,DC=intern" #Les mots contoso et intern sont à remplacer par le domaine à requêter
#Si le message suivant apparaît, les droits actuels de l'utilisateur sont insuffisants
Insufficient access rights to perform the operation.
The command failed to complete successfully.
Si le message précédent s'affiche et donc que les permissions ne s'affichent pas, il faut s'approprier la propriété du container Deleted Obects
dsacls "CN=Deleted Objects,DC=contoso,DC=intern" /takeownership #commande qui permet de devenir le propriétaire du container Deleted Objects
#Les permissions s'affichent alors, voici un exemple de permission
Owner: CONTOSO\Domain Admins
Group: NT AUTHORITY\SYSTEM
Access list:
{This object is protected from inheriting permissions from the parent}
Allow BUILTIN\Administrators SPECIAL ACCESS
LIST CONTENTS
READ PROPERTY
Allow NT AUTHORITY\SYSTEM SPECIAL ACCESS
DELETE
READ PERMISSONS
WRITE PERMISSIONS
CHANGE OWNERSHIP
CREATE CHILD
DELETE CHILD
LIST CONTENTS
WRITE SELF
WRITE PROPERTY
READ PROPERTY
2. Déléguer la lecture des mots de passe LAPS qui se trouvent dans la corbeille AD
Dans une invite de commande exécuter en tant qu'administrateur, saisir la commande suivante :
dsacls "CN=Deleted Objects,DC=contoso,DC=intern" /G CONTOSO\AD-GROUP-LAPS-DELETED-OBJECTS-READ:LCRP # commande qui permet de donner au groupe AD-GROUP-LAPS-DELETED-OBJECTS-READ les autorisations nécessaires pour lire les mots de passe LAPS des objets supprimés LC = list content et RP = read property
# ces permissions sont alors ajoutés à l'access list qui s'affiche
Allow CONTOSO\AD-GROUP-LAPS-DELETED-OBJECTS-READ
SPECIAL ACCESS
LIST CONTENTS
READ PROPERTY
Remarique : il est nécessaire de créer le groupe AD-GROUP-LAPS-DELETED-OBJECTS-READ avant de taper la commande ci-avant, le nom du groupe peut être différent.
3. Lire le mot de passe LAPS d'un objet ordinateur dans la corbeille AD
Les méthodes habituelles pour lire le mot de passe LAPS tel que LAPS UI ou la console Active Directory Users and Computers ne fonctionnent que sur les ordinateurs présents dans l'Active Directory, il est ainsi recommandé d'utiliser la cmdlet PowerShell Get-ADObject, par exemple :
Get-ADObject -Filter 'msds-LastKnownRDN -like "NameOfTheDeletedComputer"' -IncludeDeletedObjects -Properties ms-mcs-admpwd | Select ms-mcs-admpwd # il faut remplacer NameOfTheDeletedComputer par le nom de l'ordinateur dont le mot de passe LAPS doit être récupéré
# le mot de passe LAPS s'affiche en clair
Remarque : l'utilisateur qui doit récupérer le mot de passe de l'objet ordinateur supprimé doit être membre du groupe auquel la délégation a été fournie, dans cet exemple CONTOSO\AD-GROUP-LAPS-DELETED-OBJECTS-READ
Remarque 2 : l'utilisateur qui doit récupérer le mot de passe de l'objet ordinateur supprimé devait déjà avoir la possibilité de lire le mot de passe LAPS de l'ordinateur avant sa suppression