Dieses Library Item ist für Mac-Computer verfügbar
Sie müssen das vorhandene Passwort für jeden lokalen Administrator angeben, den Sie in diesem Library Item festlegen. Iru verwendet es, um SecureToken und die Volume-Eigentümerschaft auf Apple Silicon beizubehalten.
Ein LAPS Library Item erstellen
Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, folgen Sie den Schritten im Artikel Library-Übersicht.1
Zur Library navigieren
Navigieren Sie zur Library und wählen Sie Library Item hinzufügen.
2
LAPS auswählen
Suchen Sie nach LAPS und wählen Sie es aus.
3
Library Item benennen
Geben Sie dem Library Item einen Namen.
4
Blueprints zuweisen
Weisen Sie es einem oder mehreren Blueprints zu.
Das LAPS Library Item konfigurieren
Diese Einstellungen steuern die von Iru generierten Passwörter. Konfigurieren Sie sie mit den folgenden Schritten.1
Aus Passcode importieren
Verwenden Sie unter Password complexity optional Import from Passcode, um Komplexitätseinstellungen aus einem bereits in Ihrer Library vorhandenen Passcode Library Item zu übernehmen. Sie können nur aus einem Code Library Item importieren, nicht aus Android Work Profile Passcode.
macOS verlangt, dass Passwörter auf dem Gerät der Passcode-Richtlinie entsprechen. Durch den Import aus einem vorhandenen Passcode Library Item bleibt LAPS mit dieser Richtlinie abgestimmt.
2
Ein Code-Library Item auswählen
Suchen Sie nach dem Namen und wählen Sie dann das Passcode Library Item aus.
3
Importierte Passcode-Einstellungen überprüfen
Wenn der Import erfolgreich ist, zeigen die entsprechenden Einstellungen ein Imported-Badge an. Sie können jeden Wert nach dem Import weiterhin ändern.
4
Minimale Passcode-Länge
Legen Sie unter Minimum passcode length die minimale Gesamtlänge des Passcodes fest. Standard: 8. Bereich: 1 bis 36.
5
Maximale Passcode-Länge
Legen Sie unter Maximum passcode length die maximale Gesamtlänge des Passcodes fest. Standard: 15. Bereich: 1 bis 36. Muss mindestens Minimum passcode length entsprechen.
6
Einfachen Passcode verbieten
Wählen Sie Disallow simple passcode, damit Passcodes nicht mehr als zwei aufeinanderfolgende Zeichen (wie
123 oder CBA) oder mehr als drei sich wiederholende Zeichen (wie 111 oder AAA) enthalten dürfen. Standardmäßig aktiviert.7
Alphanumerischen Passcode verlangen
Wählen Sie Require alphanumeric passcode, um neben Zahlen auch Buchstaben zu verlangen. Standardmäßig aktiviert.
8
Minimale Anzahl komplexer Zeichen
Legen Sie unter Minimum complex characters die Mindestanzahl komplexer Zeichen fest, die ein Passcode enthalten muss. Ein komplexes Zeichen ist ein Zeichen, das weder eine Zahl noch ein Buchstabe ist, z. B.
& % $ #. Standard: 4. Bereich: 0 bis 36.9
Maximale Anzahl komplexer Zeichen
Legen Sie unter Maximum complex characters die Höchstanzahl komplexer Zeichen fest, die ein Passcode enthalten darf. Standard: 6. Bereich: 1 bis 36. Muss mindestens Minimum complex characters entsprechen.
10
Automatisch rotieren nach (Tagen)
Legen Sie unter Automatically rotate after (days) fest, wie oft lokale Admin-Passwörter auf Geräten rotiert und sicher in Iru gespeichert werden, unabhängig von Nach dem Anzeigen automatisch rotieren (Stunden). Bereich: 1 bis 90 Tage. Standard: 30 Tage.
11
Automatisch rotieren nach dem Anzeigen (Stunden)
Legen Sie unter Nach dem Anzeigen automatisch rotieren (Stunden) fest, wie schnell ein angezeigtes lokales Admin-Passwort rotiert wird. Diese Einstellung funktioniert unabhängig von Automatically rotate after (days). Bereich: 1 bis 24 Stunden. Standard: 2 Stunden.
12
Aus ADE importieren
Verwenden Sie unter Admin users to manage optional Import from ADE, um Konten aus einer Automated Device Enrollment-Integration zu übernehmen.
13
Eine ADE-Integration auswählen
Suchen Sie nach dem Namen und wählen Sie dann die ADE-Integration aus.
14
Importierte Admin-Benutzer überprüfen
Wenn der Import erfolgreich ist, zeigt Iru Imported settings from mit dem Namen der ADE-Integration an, und unter + Add user erscheint ein Imported-Badge.
15
Zu verwaltende Admin-Benutzer
Fügen Sie lokale Administratorkonten hinzu, deren Passwörter diese LAPS-Richtlinie verwalten soll. Jede Zeile legt einen Benutzername und das zugehörige Initial password fest. Wenn das Konto auf dem Gerät vorhanden ist, wird das Passwort rotiert.Verwenden Sie + Add user, um eine weitere Zeile hinzuzufügen. Verwenden Sie das Papierkorbsymbol in einer Zeile, um sie zu entfernen. Verwenden Sie das Augensymbol bei Initial password, um den Wert beim Festlegen oder Aktualisieren ein- oder auszublenden.
Passwörter unter Admin users können nur mit dem Augensymbol angezeigt werden, während Sie den Anfangswert festlegen oder aktualisieren. Nach dem Speichern können Sie das vorhandene Passwort im Library Item nicht mehr anzeigen.
16
Initial password aktualisieren, wenn es sich außerhalb von LAPS ändert
Sobald einem Gerät LAPS zugewiesen wurde, müssen Sie das Passwort bei späteren Änderungen am Library Item nicht erneut eingeben. Wenn sich das Anfangspasswort dieses Kontos außerhalb von LAPS ändert, z. B. das Passwort in Automated Device Enrollment oder im Blueprint-Parameter Create User Accounts, aktualisieren Sie Initial password hier, damit es mit dem aktuell auf dem Gerät festgelegten Passwort übereinstimmt.
17
Speichern
Klicken Sie auf Speichern.
Das Passwort eines Geräts anzeigen
Helpdesk oder höher kann ein LAPS-Passwort anzeigen. Secrets Auditor und Auditor können sehen, dass ein Passwort existiert, es aber nicht anzeigen. Das Anzeigen eines Passworts wird protokolliert und startet, falls ein LAPS Library Item zugewiesen ist, Nach dem Anzeigen automatisch rotieren (Stunden).1
Gerätedatensatz öffnen
Navigieren Sie in der Iru Endpoint-Web-App zu Geräte und wählen Sie den Mac aus.
2
Lokales Administratorkennwort anzeigen auswählen
Öffnen Sie das Geräteaktionsmenü (Auslassungspunkte) oben rechts im Gerätedatensatz und wählen Sie Lokales Administratorkennwort anzeigen. Diese Aktion ist für jedes Gerät verfügbar, das jemals ein LAPS-Passwort hatte, einschließlich eines Geräts, das derzeit gelöscht oder gesperrt ist.
3
Konto auswählen
Verwenden Sie im Dialog Lokales Administratorkennwort anzeigen die Option Select an admin user to view its password, um das Konto auszuwählen, wenn auf dem Gerät mehrere verwaltet werden.
4
Passwort anzeigen
Klicken Sie auf das Augensymbol, um das aktuelle lokale Admin-Passwort anzuzeigen. Dieser Klick protokolliert, wer das Passwort wann angezeigt hat, und startet Nach dem Anzeigen automatisch rotieren (Stunden). Der Dialog weist darauf hin, dass das Passwort nach dem Anzeigen nach der konfigurierten Zeit auf dem Gerät rotiert wird.
Wenn zum Zeitpunkt des Anzeigens kein LAPS Library Item zugewiesen ist, warnt Iru, dass Nach dem Anzeigen automatisch rotieren (Stunden) nicht angewendet wird. Das Anzeigen wird dennoch protokolliert.
5
Passwort ausblenden
Nachdem das Passwort angezeigt wurde, klicken Sie auf das durchgestrichene Augensymbol, um das Passwort auszublenden.
6
Passwort kopieren
Klicken Sie auf das Kopiersymbol, um das Passwort zu kopieren.
7
Auf Done klicken
Klicken Sie auf Fertig, wenn Sie fertig sind.
Aktivitätseinträge anzeigen
Aktivitäten zu lokalen Admin-Passwörtern werden auf der Registerkarte Aktivität des Gerätedatensatzes und in Unified Activity aufgezeichnet. Diese Ereignisse erscheinen nicht auf der Activity-Seite.Gerätedatensatz
Auf der Registerkarte Aktivität des Gerätedatensatzes zeichnet Iru auf, wenn ein lokales Admin-Passwort angezeigt, rotiert oder nicht rotiert werden konnte.1
Local Admin Password Viewed überprüfen
Ein Eintrag Local Admin Password Viewed zeigt den Benutzernamen des lokalen Admins, wer das Passwort angezeigt hat, das Gerät und den Zeitpunkt.
2
Local Admin Password Rotated überprüfen
Ein Eintrag Local Admin Password Rotated zeigt den Benutzernamen des lokalen Admins, den Blueprint, das Gerät und den Zeitpunkt.
3
Local Admin Password Rotation Failed überprüfen
Ein Eintrag Local Admin Password Rotation Failed zeigt den Benutzernamen des lokalen Admins, einen Grund, den Blueprint, das Gerät und den Zeitpunkt.
Unified Activity
Unified Activity zeichnet auf, wann ein lokales Admin-Passwort angezeigt und wann es aktualisiert wird, einschließlich Erfolg und Fehlschlag.1
Unified Activity filtern
Öffnen Sie in Unified Activity Activity type, suchen Sie nach Local admin und wählen Sie unter Endpoint Local admin password viewed, Local admin password updated oder beides. Klicken Sie auf Apply.
2
Local admin password viewed überprüfen
Ein Eintrag Local admin password viewed zeigt den Benutzernamen des lokalen Admins, wer das Passwort angezeigt hat, und den Zeitpunkt.
3
Local admin password updated überprüfen
Erweitern Sie einen Eintrag Local admin password updated. Eine erfolgreiche Rotation zeigt Rotated for mit dem Benutzernamen des lokalen Admins. Die Details umfassen Gerät, Local admin user, Outcome (Local admin password rotated) und Completed at.
4
Fehlgeschlagene Rotation überprüfen
Eine fehlgeschlagene Rotation verwendet denselben Aktivitätstyp Local admin password updated. Sie zeigt Rotation failed for mit dem Benutzernamen des lokalen Admins. Die Details umfassen Outcome (Local admin password rotation failed) und Reason.
5
Zum Gerät wechseln
Klicken Sie auf die Auslassungspunkte (…) neben dem Aktivitätseintrag und wählen Sie Go to device, um den zugehörigen Gerätedatensatz zu öffnen.
Überlegungen
Nur Admin-Konten
LAPS verwaltet nur lokale Administratorkonten. Standardkonten werden mit einem Fehler abgelehnt.
Ein LAPS Library Item pro Gerät
Einem Gerät kann ein LAPS Library Item zugewiesen werden. Die Zuweisung eines zweiten Library Items wird nicht unterstützt.
Aktuelles Passwort erforderlich
Sie müssen das vorhandene Passwort für jeden lokalen Administrator angeben, den Sie in diesem Library Item festlegen. Iru verwendet es, um SecureToken und die Volume-Eigentümerschaft auf Apple Silicon beizubehalten. Wenn Irus Aufzeichnung des aktuellen Passworts eines Geräts nicht mehr synchron ist, wenden Sie sich an den Iru Support. Ohne SecureToken kann dieses Konto FileVault nach einem Neustart nicht entsperren.
Erneute Registrierung rotiert beim nächsten Check-in
Durch die erneute Registrierung eines Geräts wird sein Passwort beim nächsten Check-in rotiert, nicht nach der verbleibenden Zeit von Automatically rotate after (days).
Set Auto Admin Password ist nicht verfügbar
Die Geräteaktion Set Auto Admin Account Password ist nicht verfügbar, wenn LAPS zugewiesen ist. LAPS verwaltet dieses Passwort.
Wer ein Passwort anzeigen kann
Helpdesk oder höher kann ein LAPS-Passwort anzeigen. Secrets Auditor und Auditor können dies nicht. Das Anzeigen eines Passworts startet Nach dem Anzeigen automatisch rotieren (Stunden) nur, wenn ein LAPS Library Item zugewiesen ist.
Best Practices
1
Ihre Passcode-Einstellungen wiederverwenden
Importieren Sie Komplexitätseinstellungen aus einem vorhandenen Passcode Library Item, wenn Sie diese bereits angepasst haben, damit LAPS und Passcode konsistent bleiben.
2
An Ihre Compliance-Anforderungen anpassen
Verwenden Sie Automatically rotate after (days) und Nach dem Anzeigen automatisch rotieren (Stunden), um Komfort und die Gültigkeitsdauer eines angezeigten Passworts gegeneinander abzuwägen.
3
Rotationsaktivität überprüfen
Wenn ein Passwort nicht rotiert werden kann, prüfen Sie das Feld Reason in Unified Activity oder auf der Registerkarte Aktivität des Gerätedatensatzes. Die meisten Fehler nennen die Ursache direkt.
Fehlerbehebung
Kein Admin-Konto zum Importieren aus 'ADE'.
Kein Admin-Konto zum Importieren aus 'ADE'.
Mögliche Ursachen:
- Die ADE-Integration definiert kein lokales Administratorkonto
- Bestätigen Sie unter Automated Device Enrollment, dass ein lokales Admin-Konto konfiguriert ist, und importieren Sie dann erneut
Admin-Benutzer aus 'ADE' ist bereits in der Liste.
Admin-Benutzer aus 'ADE' ist bereits in der Liste.
Mögliche Ursachen:
- Sie haben bereits aus dieser ADE-Integration importiert
- Sie haben denselben Benutzernamen manuell hinzugefügt
- Behalten Sie die vorhandene Zeile bei. Iru fügt kein Duplikat hinzu.
Ein Passwort konnte nicht rotiert werden
Ein Passwort konnte nicht rotiert werden
Wenn ein Passwort nicht rotiert werden kann, prüfen Sie Reason in Unified Activity (
Reason: <cause>) oder auf der Registerkarte Aktivität des Gerätedatensatzes (<username>: <cause>).Mögliche Ursachen:- Das Feld Reason nennt die Ursache, z. B. einen gesperrten Schlüsselbund
- Das Konto ist kein lokaler Administrator
- Das von Iru gespeicherte aktuelle Passwort stimmt nicht mit dem Gerät überein
- Bestätigen Sie, dass das Konto ein Administrator ist. LAPS verwaltet keine Standardkonten
- Es gibt keinen automatischen erneuten Versuch. Der nächste Versuch folgt Automatically rotate after (days)
- Wenn das gespeicherte Passwort nicht synchron ist, wenden Sie sich an den Iru Support
Passwort angezeigt, aber nicht rotiert
Passwort angezeigt, aber nicht rotiert
Mögliche Ursachen:
- Dem Gerät war zum Zeitpunkt des Anzeigens kein LAPS Library Item zugewiesen
- Weisen Sie ein LAPS Library Item zu, wenn künftig Nach dem Anzeigen automatisch rotieren (Stunden) und Automatically rotate after (days) gelten sollen
- Das Anzeigen wird auch dann protokolliert, wenn Nach dem Anzeigen automatisch rotieren (Stunden) nicht startet
Set Auto Admin Password fehlt in den Geräteaktionen
Set Auto Admin Password fehlt in den Geräteaktionen
Mögliche Ursachen:
- LAPS ist diesem Gerät zugewiesen, daher wird der in Konflikt stehende MDM-Befehl ausgeblendet
- Dies ist zu erwarten, wenn LAPS zugewiesen ist. Verwenden Sie stattdessen Lokales Administratorkennwort anzeigen
- Entfernen Sie LAPS nur dann aus dem Blueprint des Geräts, wenn Sie die Aktion Set Auto Admin Password benötigen
Ein Admin-Konto wird nicht rotiert
Ein Admin-Konto wird nicht rotiert
Mögliche Ursachen:
- Das Konto ist kein Administrator
- Das Konto ist auf dem Gerät nicht vorhanden
- Das aktuelle Passwort im Library Item stimmt nicht mit dem Konto auf dem Gerät überein
- Bestätigen Sie, dass das Konto ein lokaler Administrator ist
- Bestätigen Sie, dass der Benutzername mit dem Konto auf dem Mac übereinstimmt
- Geben Sie bei der ersten Zuweisung das aktuelle Passwort an, damit Iru das Konto übernehmen kann
Verwandte Artikel
Library-Übersicht
Library Items kuratieren, erstellen und verwalten und sie Blueprints hinzufügen.
Iru Agent und MDM
LAPS ist agentenbasiert und funktioniert daher unabhängig vom MDM-Protokoll von Apple.
Einheitliche Aktivität
Ereignisse zum Anzeigen und Aktualisieren lokaler Admin-Passwörter erscheinen in Unified Activity, nicht auf der Activity-Seite.
Benutzerkonten erstellen
Lokale Administratorkonten erstellen, deren Passwörter LAPS rotiert. LAPS erstellt keine Konten.
Das Passcode Library Item konfigurieren
Passcode-Anforderungen durchsetzen, einschließlich Einstellungen, die Sie in LAPS importieren können.
Das Recovery Password Library Item konfigurieren
Wiederherstellungspasswörter auf Mac-Computern mit Apple Silicon und Intel konfigurieren.
Das Auto Admin-Kontopasswort festlegen
Der MDM-Befehl, den LAPS ersetzt, solange es zugewiesen ist.
Automated Device Enrollment konfigurieren
ADE-Integrationen, aus denen Sie Admin-Konten importieren können.
FileVault konfigurieren
FileVault-Verschlüsselung und Wiederherstellungsschlüssel auf Mac-Computern.