Este Library Item está disponible para computadoras Mac
Debes proporcionar la contraseña existente de cada administrador local que definas en este Library Item. Iru la usa para conservar el SecureToken y la propiedad del volumen en Apple silicon.
Crear un Library Item LAPS
Para agregar este Library Item a tu Library de Iru Endpoint, sigue los pasos descritos en el artículo Descripción general de la Library.1
Ir a la Library
Ve a la Library y selecciona Añadir Library Item.
2
Seleccionar LAPS
Busca y selecciona LAPS.
3
Asignar un nombre al Library Item
Asigna un nombre al Library Item.
4
Asignar a Blueprints
Asígnalo a uno o más Blueprints.
Configurar el Library Item LAPS
Estas opciones controlan las contraseñas que genera Iru. Configúralas siguiendo los pasos a continuación.1
Importar desde Passcode
En Password complexity, opcionalmente usa Import from Passcode para copiar la configuración de complejidad de un Library Item Passcode que ya esté en tu Library. Solo puedes importar desde un Library Item Código, no desde Android Work Profile Passcode.
macOS exige que las contraseñas del dispositivo cumplan la política de códigos de acceso, por lo que importar desde un Library Item Passcode existente mantiene LAPS alineado con esa política.
2
Seleccionar un Library Item Passcode
Busca por nombre y luego selecciona el Library Item Passcode.
3
Revisar la configuración de Passcode importada
Cuando la importación se realiza correctamente, las opciones coincidentes muestran una insignia Imported. Aún puedes cambiar cualquier valor después de la importación.
4
Longitud mínima del código
Configura Minimum passcode length con la longitud total mínima del código. Valor predeterminado: 8. Rango: de 1 a 36.
5
Longitud máxima del código
Configura Maximum passcode length con la longitud total máxima del código. Valor predeterminado: 15. Rango: de 1 a 36. Debe ser al menos igual a Minimum passcode length.
6
No permitir códigos simples
Selecciona Disallow simple passcode para que los códigos no puedan tener más de dos caracteres secuenciales (como
123 o CBA) ni más de tres caracteres repetidos (como 111 o AAA). Habilitada de forma predeterminada.7
Requerir un código alfanumérico
Selecciona Require alphanumeric passcode para exigir letras además de números. Habilitada de forma predeterminada.
8
Mínimo de caracteres complejos
Configura Minimum complex characters con el número mínimo de caracteres complejos que debe contener un código. Un carácter complejo es un carácter que no es un número ni una letra, como
& % $ #. Valor predeterminado: 4. Rango: de 0 a 36.9
Máximo de caracteres complejos
Configura Maximum complex characters con el número máximo de caracteres complejos que puede contener un código. Valor predeterminado: 6. Rango: de 1 a 36. Debe ser al menos igual a Minimum complex characters.
10
Rotar automáticamente después de (días)
Configura Automatically rotate after (days) con la frecuencia con la que las contraseñas de administrador local se rotan en los dispositivos y se almacenan de forma segura en Iru, independientemente de Rotar automáticamente después de verlo (horas). Rango: de 1 a 90 días. Valor predeterminado: 30 días.
11
Rotar automáticamente después de verla (horas)
Configura Rotar automáticamente después de verlo (horas) para indicar qué tan pronto se rota una contraseña de administrador local que se ha visto. Esta opción funciona de forma independiente de Automatically rotate after (days). Rango: de 1 a 24 horas. Valor predeterminado: 2 horas.
12
Importar desde ADE
En Admin users to manage, opcionalmente usa Import from ADE para completar las cuentas a partir de una integración de Automated Device Enrollment.
13
Seleccionar una integración de ADE
Busca por nombre y luego selecciona la integración de ADE.
14
Revisar los usuarios administradores importados
Cuando la importación se realiza correctamente, Iru muestra Imported settings from con el nombre de la integración de ADE, y aparece una insignia Imported debajo de + Add user.
15
Usuarios administradores que se administrarán
Agrega las cuentas de administrador local cuyas contraseñas debe administrar esta política de LAPS. Cada fila define un Nombre de usuario y su Initial password. Si la cuenta está presente en el dispositivo, se rotará la contraseña.Usa + Add user para agregar otra fila. Usa el control de papelera de una fila para eliminarla. Usa el icono del ojo en Initial password para mostrar u ocultar el valor mientras lo estableces o actualizas.
Las contraseñas de Admin users solo se pueden ver con el icono del ojo mientras estableces el valor inicial o lo actualizas. Después de guardar, no puedes ver la contraseña existente en el Library Item.
16
Actualizar Initial password si cambia fuera de LAPS
Una vez que se ha asignado LAPS a un dispositivo, no necesitas volver a ingresar la contraseña en las ediciones posteriores del Library Item. Si la contraseña inicial de esa cuenta cambia fuera de LAPS, como la contraseña de Automated Device Enrollment o del Parameter de Blueprint Create User Accounts, actualiza aquí Initial password para que coincida con la que está configurada actualmente en el dispositivo.
17
Guardar
Haz clic en Guardar.
Ver la contraseña de un dispositivo
Servicio de asistencia o un rol superior pueden revelar una contraseña de LAPS. Secrets Auditor y Auditor pueden ver que existe una contraseña, pero no pueden revelarla. Mostrar una contraseña registra la visualización y, si hay un Library Item LAPS asignado, inicia Rotar automáticamente después de verlo (horas).1
Abrir el registro del dispositivo
Ve a Dispositivos en la web app de Iru Endpoint y selecciona la Mac.
2
Seleccionar Ver contraseña de administrador local
Abre el Menú de acciones del dispositivo (puntos suspensivos) en la esquina superior derecha del registro del dispositivo y selecciona Ver contraseña de administrador local. Esta acción está disponible para cualquier dispositivo que haya tenido alguna vez una contraseña de LAPS, incluido un dispositivo que actualmente esté borrado o bloqueado.
3
Elegir la cuenta
En el cuadro de diálogo Ver contraseña de administrador local, usa Select an admin user to view its password para elegir la cuenta si se administra más de una en el dispositivo.
4
Mostrar la contraseña
Haz clic en el icono del ojo para mostrar la contraseña de administrador local actual. Ese clic registra quién vio la contraseña y cuándo, e inicia Rotar automáticamente después de verlo (horas). El cuadro de diálogo indica que, después de mostrar la contraseña, esta se rota en el dispositivo tras el tiempo configurado.
Si no hay ningún Library Item LAPS asignado en el momento de la visualización, Iru advierte que Rotar automáticamente después de verlo (horas) no se aplicará. La visualización se sigue registrando.
5
Ocultar la contraseña
Después de mostrar la contraseña, haz clic en el icono del ojo tachado para ocultarla.
6
Copiar la contraseña
Haz clic en el icono de copiar para copiar la contraseña.
7
Hacer clic en Done
Haz clic en Listo cuando termines.
Ver los registros de actividad
La actividad de las contraseñas de administrador local se registra en la pestaña Actividad del registro del dispositivo y en Unified Activity. Estos eventos no aparecen en la página Activity.Registro del dispositivo
En la pestaña Actividad del registro del dispositivo, Iru registra cuándo se ve, se rota o no se puede rotar una contraseña de administrador local.1
Revisar Local Admin Password Viewed
Una entrada Local Admin Password Viewed muestra el nombre de usuario del administrador local, quién vio la contraseña, el dispositivo y cuándo.
2
Revisar Local Admin Password Rotated
Una entrada Local Admin Password Rotated muestra el nombre de usuario del administrador local, el Blueprint, el dispositivo y cuándo.
3
Revisar Local Admin Password Rotation Failed
Una entrada Local Admin Password Rotation Failed muestra el nombre de usuario del administrador local, un motivo, el Blueprint, el dispositivo y cuándo.
Unified Activity
Unified Activity registra cuándo se ve una contraseña de administrador local y cuándo se actualiza, incluidos los éxitos y los errores.1
Filtrar Unified Activity
En Unified Activity, abre Activity type, busca Local admin y, en Endpoint, selecciona Local admin password viewed, Local admin password updated o ambos. Haz clic en Apply.
2
Revisar Local admin password viewed
Una entrada Local admin password viewed muestra el nombre de usuario del administrador local, quién vio la contraseña y cuándo.
3
Revisar Local admin password updated
Expande una entrada Local admin password updated. Una rotación correcta muestra Rotated for con el nombre de usuario del administrador local. Los detalles incluyen Dispositivo, Local admin user, Outcome (Local admin password rotated) y Completed at.
4
Revisar una rotación fallida
Una rotación fallida usa el mismo tipo de actividad Local admin password updated. Muestra Rotation failed for con el nombre de usuario del administrador local. Los detalles incluyen Outcome (Local admin password rotation failed) y Reason.
5
Ir al dispositivo
Haz clic en los puntos suspensivos (…) junto a la entrada de actividad y selecciona Go to device para abrir el registro del dispositivo relacionado.
Consideraciones
Solo cuentas de administrador
LAPS solo administra cuentas de administrador local. Las cuentas estándar se rechazan con un error.
Un Library Item LAPS por dispositivo
Un dispositivo puede tener asignado un Library Item LAPS. No se admite asignar un segundo Library Item.
Se requiere la contraseña actual
Debes proporcionar la contraseña existente de cada administrador local que definas en este Library Item. Iru la usa para conservar el SecureToken y la propiedad del volumen en Apple silicon. Si el registro de Iru de la contraseña actual de un dispositivo se desincroniza, comunícate con el soporte de Iru. Sin SecureToken, esa cuenta no puede desbloquear FileVault después de un reinicio.
La reinscripción rota en el siguiente check-in
Volver a inscribir un dispositivo rota su contraseña en el siguiente check-in, no según lo que quedara de Automatically rotate after (days).
Set Auto Admin Password no está disponible
La acción de dispositivo Set Auto Admin Account Password no está disponible cuando LAPS está asignado. LAPS administra esa contraseña.
Quién puede revelar una contraseña
Servicio de asistencia o un rol superior pueden revelar una contraseña de LAPS. Secrets Auditor y Auditor no pueden. Mostrar una contraseña inicia Rotar automáticamente después de verlo (horas) solo si hay un Library Item LAPS asignado.
Prácticas recomendadas
1
Reutilizar tu configuración de Passcode
Importa la configuración de complejidad de un Library Item Passcode existente si ya la ajustaste, para que LAPS y Passcode sean coherentes.
2
Ajustarse a tus requisitos de cumplimiento
Usa Automatically rotate after (days) y Rotar automáticamente después de verlo (horas) para equilibrar la comodidad con el tiempo durante el cual una contraseña vista sigue siendo válida.
3
Revisar la actividad de rotación
Cuando una contraseña no se rota, revisa el campo Reason en Unified Activity o en la pestaña Actividad del registro del dispositivo. La mayoría de los errores indican la causa directamente.
Solución de problemas
No admin account to import from 'ADE'.
No admin account to import from 'ADE'.
Posibles causas:
- La integración de ADE no define una cuenta de administrador local
- En Automated Device Enrollment, confirma que haya una cuenta de administrador local configurada y vuelve a importar
Admin user from 'ADE' is already in the list.
Admin user from 'ADE' is already in the list.
Posibles causas:
- Ya importaste desde esa integración de ADE
- Agregaste manualmente el mismo nombre de usuario
- Conserva la fila existente. Iru no agrega un duplicado.
No se pudo rotar una contraseña
No se pudo rotar una contraseña
Cuando una contraseña no se rota, revisa Reason en Unified Activity (
Reason: <cause>) o en la pestaña Actividad del registro del dispositivo (<username>: <cause>).Posibles causas:- El campo Reason indica la causa, como un llavero bloqueado
- La cuenta no es un administrador local
- La contraseña actual almacenada en Iru no coincide con la del dispositivo
- Confirma que la cuenta sea de administrador. LAPS no administra cuentas estándar
- No hay reintento automático. El siguiente intento sigue Automatically rotate after (days)
- Si la contraseña almacenada está desincronizada, comunícate con el soporte de Iru
Vi la contraseña, pero no se rotó
Vi la contraseña, pero no se rotó
Posibles causas:
- No había ningún Library Item LAPS asignado al dispositivo en el momento de la visualización
- Asigna un Library Item LAPS si quieres que Rotar automáticamente después de verlo (horas) y Automatically rotate after (days) se apliquen en adelante
- La visualización se sigue registrando aunque Rotar automáticamente después de verlo (horas) no se inicie
Set Auto Admin Password no aparece en las acciones del dispositivo
Set Auto Admin Password no aparece en las acciones del dispositivo
Posibles causas:
- LAPS está asignado a este dispositivo, por lo que el comando MDM en conflicto está oculto
- Es lo esperado cuando LAPS está asignado. Usa Ver contraseña de administrador local en su lugar
- Quita LAPS del Blueprint del dispositivo solo si necesitas la acción Set Auto Admin Password
Una cuenta de administrador no se rota
Una cuenta de administrador no se rota
Posibles causas:
- La cuenta no es de administrador
- La cuenta no está presente en el dispositivo
- La contraseña actual del Library Item no coincide con la de la cuenta en el dispositivo
- Confirma que la cuenta sea de administrador local
- Confirma que el nombre de usuario coincida con la cuenta de la Mac
- Proporciona la contraseña actual en la primera asignación para que Iru pueda tomar el control de la cuenta
Artículos relacionados
Descripción general de la Library
Selecciona, crea y administra Library Items y agrégalos a Blueprints.
Agente de Iru y MDM
LAPS se basa en el agente, por lo que funciona de forma independiente del protocolo MDM de Apple.
Actividad unificada
Los eventos de visualización y actualización de contraseñas de administrador local aparecen en Unified Activity, no en la página Activity.
Crear cuentas de usuario
Crea cuentas de administrador local para que LAPS las rote. LAPS no crea cuentas.
Configurar el Library Item Passcode
Aplica requisitos de código de acceso, incluidas opciones que puedes importar a LAPS.
Configurar el Library Item Recovery Password
Configura contraseñas de recuperación en computadoras Mac con Apple silicon e Intel.
Establecer la contraseña de la cuenta Auto Admin
El comando MDM que LAPS reemplaza mientras está asignado.
Configurar Automated Device Enrollment
Integraciones de ADE desde las que puedes importar cuentas de administrador.
Configurar FileVault
Cifrado de FileVault y claves de recuperación en computadoras Mac.