> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Das LAPS Library Item konfigurieren
> Richten Sie das LAPS Library Item in Iru Endpoint ein, um Passwörter lokaler Administratoren auf verwalteten Mac-Computern Ihrer gesamten Flotte zu rotieren und sicher zu speichern.
Dieses Library Item ist für Mac-Computer verfügbar
Das Library Item **LAPS** (Local Administrator Password Solution) rotiert die Passwörter der lokalen Administratoren, die Sie in diesem Library Item festlegen, und speichert sie sicher in Iru. Jeder Mac erhält nach einem von Ihnen gesteuerten Zeitplan eindeutige Passwörter für diese Konten, anstatt eines einzigen statischen Admin-Passworts für die gesamte Flotte.
LAPS erstellt keine Benutzerkonten. Es rotiert nur die Passwörter vorhandener lokaler Administratoren. Erstellen Sie diese Konten, indem Sie einen lokalen Administrator (Auto Admin) in einem [Automated Device Enrollment Library Item](/de/endpoint/enrollment/apple/configuring-apple-enrollment) bereitstellen oder den Blueprint-Parameter [Create User Accounts](/de/endpoint/blueprints/parameters/create-user-accounts) verwenden.
Dieses Library Item wird vom [Iru Agent](/de/endpoint/agent/iru-agent-and-mdm#about-the-macos-agent) durchgesetzt und funktioniert daher unabhängig vom [MDM-Protokoll von Apple](/de/endpoint/agent/iru-agent-and-mdm#about-the-mdm-framework).
Sie müssen das vorhandene Passwort für jeden lokalen Administrator angeben, den Sie in diesem Library Item festlegen. Iru verwendet es, um SecureToken und die Volume-Eigentümerschaft auf Apple Silicon beizubehalten.
## Ein LAPS Library Item erstellen
Um dieses Library Item zu Ihrer Iru Endpoint Library hinzuzufügen, folgen Sie den Schritten im Artikel [Library-Übersicht](/de/endpoint/library/library-items-profiles/library-overview).
Navigieren Sie zur **Library** und wählen Sie **Library Item hinzufügen**.
Suchen Sie nach **LAPS** und wählen Sie es aus.
Geben Sie dem Library Item einen **Namen**.
Weisen Sie es einem oder mehreren **Blueprints** zu.
## Das LAPS Library Item konfigurieren
Diese Einstellungen steuern die von Iru generierten Passwörter. Konfigurieren Sie sie mit den folgenden Schritten.
Verwenden Sie unter **Password complexity** optional **Import from Passcode**, um Komplexitätseinstellungen aus einem bereits in Ihrer Library vorhandenen [Passcode](/de/endpoint/library/library-items-profiles/configure-the-passcode-library-item) Library Item zu übernehmen. Sie können nur aus einem **Code** Library Item importieren, nicht aus **Android Work Profile Passcode**.
Wenn kein kompatibles Passcode Library Item zum Importieren vorhanden ist, ist **Import from Passcode** deaktiviert und zeigt **No Library Items available** an.
macOS verlangt, dass Passwörter auf dem Gerät der Passcode-Richtlinie entsprechen. Durch den Import aus einem vorhandenen Passcode Library Item bleibt LAPS mit dieser Richtlinie abgestimmt.
Suchen Sie nach dem Namen und wählen Sie dann das Passcode Library Item aus.
Wenn der Import erfolgreich ist, zeigen die entsprechenden Einstellungen ein **Imported**-Badge an. Sie können jeden Wert nach dem Import weiterhin ändern.
Legen Sie unter **Minimum passcode length** die minimale Gesamtlänge des Passcodes fest. Standard: **8**. Bereich: **1** bis **36**.
Legen Sie unter **Maximum passcode length** die maximale Gesamtlänge des Passcodes fest. Standard: **15**. Bereich: **1** bis **36**. Muss mindestens **Minimum passcode length** entsprechen.
Wählen Sie **Disallow simple passcode**, damit Passcodes nicht mehr als zwei aufeinanderfolgende Zeichen (wie `123` oder `CBA`) oder mehr als drei sich wiederholende Zeichen (wie `111` oder `AAA`) enthalten dürfen. Standardmäßig aktiviert.
Wählen Sie **Require alphanumeric passcode**, um neben Zahlen auch Buchstaben zu verlangen. Standardmäßig aktiviert.
Legen Sie unter **Minimum complex characters** die Mindestanzahl komplexer Zeichen fest, die ein Passcode enthalten muss. Ein komplexes Zeichen ist ein Zeichen, das weder eine Zahl noch ein Buchstabe ist, z. B. `& % $ #`. Standard: **4**. Bereich: **0** bis **36**.
Legen Sie unter **Maximum complex characters** die Höchstanzahl komplexer Zeichen fest, die ein Passcode enthalten darf. Standard: **6**. Bereich: **1** bis **36**. Muss mindestens **Minimum complex characters** entsprechen.
Legen Sie unter **Automatically rotate after (days)** fest, wie oft lokale Admin-Passwörter auf Geräten rotiert und sicher in Iru gespeichert werden, unabhängig von **Nach dem Anzeigen automatisch rotieren (Stunden)**. Bereich: **1** bis **90** Tage. Standard: **30** Tage.
Legen Sie unter **Nach dem Anzeigen automatisch rotieren (Stunden)** fest, wie schnell ein angezeigtes lokales Admin-Passwort rotiert wird. Diese Einstellung funktioniert unabhängig von **Automatically rotate after (days)**. Bereich: **1** bis **24** Stunden. Standard: **2** Stunden.
Verwenden Sie unter **Admin users to manage** optional **Import from ADE**, um Konten aus einer [Automated Device Enrollment](/de/endpoint/settings/apple-integrations/configure-automated-device-enrollment)-Integration zu übernehmen.
Suchen Sie nach dem Namen und wählen Sie dann die ADE-Integration aus.
Wenn der Import erfolgreich ist, zeigt Iru **Imported settings from** mit dem Namen der ADE-Integration an, und unter **+ Add user** erscheint ein **Imported**-Badge.
Fügen Sie lokale Administratorkonten hinzu, deren Passwörter diese LAPS-Richtlinie verwalten soll. Jede Zeile legt einen **Benutzername** und das zugehörige **Initial password** fest. Wenn das Konto auf dem Gerät vorhanden ist, wird das Passwort rotiert.
Verwenden Sie **+ Add user**, um eine weitere Zeile hinzuzufügen. Verwenden Sie das Papierkorbsymbol in einer Zeile, um sie zu entfernen. Verwenden Sie das Augensymbol bei **Initial password**, um den Wert beim Festlegen oder Aktualisieren ein- oder auszublenden.
Passwörter unter **Admin users** können nur mit dem Augensymbol angezeigt werden, während Sie den Anfangswert festlegen oder aktualisieren. Nach dem Speichern können Sie das vorhandene Passwort im Library Item nicht mehr anzeigen.
Sobald einem Gerät LAPS zugewiesen wurde, müssen Sie das Passwort bei späteren Änderungen am Library Item nicht erneut eingeben. Wenn sich das Anfangspasswort dieses Kontos außerhalb von LAPS ändert, z. B. das Passwort in [Automated Device Enrollment](/de/endpoint/settings/apple-integrations/configure-automated-device-enrollment) oder im Blueprint-Parameter [Create User Accounts](/de/endpoint/blueprints/parameters/create-user-accounts), aktualisieren Sie **Initial password** hier, damit es mit dem aktuell auf dem Gerät festgelegten Passwort übereinstimmt.
Klicken Sie auf **Speichern**.
## Das Passwort eines Geräts anzeigen
Helpdesk oder höher kann ein LAPS-Passwort anzeigen. Secrets Auditor und Auditor können sehen, dass ein Passwort existiert, es aber nicht anzeigen. Das Anzeigen eines Passworts wird protokolliert und startet, falls ein LAPS Library Item zugewiesen ist, **Nach dem Anzeigen automatisch rotieren (Stunden)**.
Navigieren Sie in der Iru Endpoint-Web-App zu **Geräte** und wählen Sie den Mac aus.
Öffnen Sie das **Geräteaktionsmenü** (Auslassungspunkte) oben rechts im Gerätedatensatz und wählen Sie **Lokales Administratorkennwort anzeigen**. Diese Aktion ist für jedes Gerät verfügbar, das jemals ein LAPS-Passwort hatte, einschließlich eines Geräts, das derzeit gelöscht oder gesperrt ist.
Verwenden Sie im Dialog **Lokales Administratorkennwort anzeigen** die Option **Select an admin user to view its password**, um das Konto auszuwählen, wenn auf dem Gerät mehrere verwaltet werden.
Klicken Sie auf das Augensymbol, um das aktuelle lokale Admin-Passwort anzuzeigen. Dieser Klick protokolliert, wer das Passwort wann angezeigt hat, und startet **Nach dem Anzeigen automatisch rotieren (Stunden)**. Der Dialog weist darauf hin, dass das Passwort nach dem Anzeigen nach der konfigurierten Zeit auf dem Gerät rotiert wird.
Wenn zum Zeitpunkt des Anzeigens kein LAPS Library Item zugewiesen ist, warnt Iru, dass **Nach dem Anzeigen automatisch rotieren (Stunden)** nicht angewendet wird. Das Anzeigen wird dennoch protokolliert.
Nachdem das Passwort angezeigt wurde, klicken Sie auf das durchgestrichene Augensymbol, um das Passwort auszublenden.
Klicken Sie auf das Kopiersymbol, um das Passwort zu kopieren.
Klicken Sie auf **Fertig**, wenn Sie fertig sind.
### Aktivitätseinträge anzeigen
Aktivitäten zu lokalen Admin-Passwörtern werden auf der Registerkarte **Aktivität** des Gerätedatensatzes und in [Unified Activity](/de/iru/platform-overview/unified-activity) aufgezeichnet. Diese Ereignisse erscheinen nicht auf der [Activity-Seite](/de/endpoint/devices/activity-page).
#### Gerätedatensatz
Auf der Registerkarte **Aktivität** des Gerätedatensatzes zeichnet Iru auf, wenn ein lokales Admin-Passwort angezeigt, rotiert oder nicht rotiert werden konnte.
Ein Eintrag **Local Admin Password Viewed** zeigt den Benutzernamen des lokalen Admins, wer das Passwort angezeigt hat, das Gerät und den Zeitpunkt.
Ein Eintrag **Local Admin Password Rotated** zeigt den Benutzernamen des lokalen Admins, den Blueprint, das Gerät und den Zeitpunkt.
Ein Eintrag **Local Admin Password Rotation Failed** zeigt den Benutzernamen des lokalen Admins, einen Grund, den Blueprint, das Gerät und den Zeitpunkt.
#### Unified Activity
Unified Activity zeichnet auf, wann ein lokales Admin-Passwort angezeigt und wann es aktualisiert wird, einschließlich Erfolg und Fehlschlag.
Öffnen Sie in Unified Activity **Activity type**, suchen Sie nach **Local admin** und wählen Sie unter **Endpoint** **Local admin password viewed**, **Local admin password updated** oder beides. Klicken Sie auf **Apply**.
Ein Eintrag **Local admin password viewed** zeigt den Benutzernamen des lokalen Admins, wer das Passwort angezeigt hat, und den Zeitpunkt.
Erweitern Sie einen Eintrag **Local admin password updated**. Eine erfolgreiche Rotation zeigt **Rotated for** mit dem Benutzernamen des lokalen Admins. Die Details umfassen **Gerät**, **Local admin user**, **Outcome** (**Local admin password rotated**) und **Completed at**.
Eine fehlgeschlagene Rotation verwendet denselben Aktivitätstyp **Local admin password updated**. Sie zeigt **Rotation failed for** mit dem Benutzernamen des lokalen Admins. Die Details umfassen **Outcome** (**Local admin password rotation failed**) und **Reason**.
Klicken Sie auf die Auslassungspunkte (**…**) neben dem Aktivitätseintrag und wählen Sie **Go to device**, um den zugehörigen Gerätedatensatz zu öffnen.
## Überlegungen
LAPS verwaltet nur lokale Administratorkonten. Standardkonten werden mit einem Fehler abgelehnt.
Einem Gerät kann ein LAPS Library Item zugewiesen werden. Die Zuweisung eines zweiten Library Items wird nicht unterstützt.
Sie müssen das vorhandene Passwort für jeden lokalen Administrator angeben, den Sie in diesem Library Item festlegen. Iru verwendet es, um SecureToken und die Volume-Eigentümerschaft auf Apple Silicon beizubehalten. Wenn Irus Aufzeichnung des aktuellen Passworts eines Geräts nicht mehr synchron ist, [wenden Sie sich an den Iru Support](/de/iru/iru-support/access-to-iru-support). Ohne SecureToken kann dieses Konto FileVault nach einem Neustart nicht entsperren.
Durch die erneute Registrierung eines Geräts wird sein Passwort beim nächsten Check-in rotiert, nicht nach der verbleibenden Zeit von **Automatically rotate after (days)**.
Die Geräteaktion [Set Auto Admin Account Password](/de/endpoint/devices/device-actions/set-the-auto-admin-account-password) ist nicht verfügbar, wenn LAPS zugewiesen ist. LAPS verwaltet dieses Passwort.
Helpdesk oder höher kann ein LAPS-Passwort anzeigen. Secrets Auditor und Auditor können dies nicht. Das Anzeigen eines Passworts startet **Nach dem Anzeigen automatisch rotieren (Stunden)** nur, wenn ein LAPS Library Item zugewiesen ist.
## Best Practices
Importieren Sie Komplexitätseinstellungen aus einem vorhandenen Passcode Library Item, wenn Sie diese bereits angepasst haben, damit LAPS und Passcode konsistent bleiben.
Verwenden Sie **Automatically rotate after (days)** und **Nach dem Anzeigen automatisch rotieren (Stunden)**, um Komfort und die Gültigkeitsdauer eines angezeigten Passworts gegeneinander abzuwägen.
Wenn ein Passwort nicht rotiert werden kann, prüfen Sie das Feld **Reason** in [Unified Activity](/de/iru/platform-overview/unified-activity) oder auf der Registerkarte **Aktivität** des Gerätedatensatzes. Die meisten Fehler nennen die Ursache direkt.
## Fehlerbehebung
**Mögliche Ursachen:**
* Die ADE-Integration definiert kein lokales Administratorkonto
**Lösungen:**
* Bestätigen Sie unter [Automated Device Enrollment](/de/endpoint/settings/apple-integrations/configure-automated-device-enrollment), dass ein lokales Admin-Konto konfiguriert ist, und importieren Sie dann erneut
**Mögliche Ursachen:**
* Sie haben bereits aus dieser ADE-Integration importiert
* Sie haben denselben Benutzernamen manuell hinzugefügt
**Lösungen:**
* Behalten Sie die vorhandene Zeile bei. Iru fügt kein Duplikat hinzu.
Wenn ein Passwort nicht rotiert werden kann, prüfen Sie **Reason** in [Unified Activity](/de/iru/platform-overview/unified-activity) (`Reason: `) oder auf der Registerkarte **Aktivität** des Gerätedatensatzes (`: `).
**Mögliche Ursachen:**
* Das Feld Reason nennt die Ursache, z. B. einen gesperrten Schlüsselbund
* Das Konto ist kein lokaler Administrator
* Das von Iru gespeicherte aktuelle Passwort stimmt nicht mit dem Gerät überein
**Lösungen:**
* Bestätigen Sie, dass das Konto ein Administrator ist. LAPS verwaltet keine Standardkonten
* Es gibt keinen automatischen erneuten Versuch. Der nächste Versuch folgt **Automatically rotate after (days)**
* Wenn das gespeicherte Passwort nicht synchron ist, [wenden Sie sich an den Iru Support](/de/iru/iru-support/access-to-iru-support)
**Mögliche Ursachen:**
* Dem Gerät war zum Zeitpunkt des Anzeigens kein LAPS Library Item zugewiesen
**Lösungen:**
* Weisen Sie ein LAPS Library Item zu, wenn künftig **Nach dem Anzeigen automatisch rotieren (Stunden)** und **Automatically rotate after (days)** gelten sollen
* Das Anzeigen wird auch dann protokolliert, wenn **Nach dem Anzeigen automatisch rotieren (Stunden)** nicht startet
**Mögliche Ursachen:**
* LAPS ist diesem Gerät zugewiesen, daher wird der in Konflikt stehende MDM-Befehl ausgeblendet
**Lösungen:**
* Dies ist zu erwarten, wenn LAPS zugewiesen ist. Verwenden Sie stattdessen **Lokales Administratorkennwort anzeigen**
* Entfernen Sie LAPS nur dann aus dem Blueprint des Geräts, wenn Sie die Aktion Set Auto Admin Password benötigen
**Mögliche Ursachen:**
* Das Konto ist kein Administrator
* Das Konto ist auf dem Gerät nicht vorhanden
* Das aktuelle Passwort im Library Item stimmt nicht mit dem Konto auf dem Gerät überein
**Lösungen:**
* Bestätigen Sie, dass das Konto ein lokaler Administrator ist
* Bestätigen Sie, dass der Benutzername mit dem Konto auf dem Mac übereinstimmt
* Geben Sie bei der ersten Zuweisung das aktuelle Passwort an, damit Iru das Konto übernehmen kann
## Verwandte Artikel
Library Items kuratieren, erstellen und verwalten und sie Blueprints hinzufügen.
LAPS ist agentenbasiert und funktioniert daher unabhängig vom MDM-Protokoll von Apple.
Ereignisse zum Anzeigen und Aktualisieren lokaler Admin-Passwörter erscheinen in Unified Activity, nicht auf der Activity-Seite.
Lokale Administratorkonten erstellen, deren Passwörter LAPS rotiert. LAPS erstellt keine Konten.
Passcode-Anforderungen durchsetzen, einschließlich Einstellungen, die Sie in LAPS importieren können.
Wiederherstellungspasswörter auf Mac-Computern mit Apple Silicon und Intel konfigurieren.
Der MDM-Befehl, den LAPS ersetzt, solange es zugewiesen ist.
ADE-Integrationen, aus denen Sie Admin-Konten importieren können.
FileVault-Verschlüsselung und Wiederherstellungsschlüssel auf Mac-Computern.