이 Library Item은 Mac 컴퓨터에서 사용할 수 있습니다
이 Library Item에서 정의하는 각 로컬 관리자의 기존 암호를 제공해야 합니다. Iru는 이를 사용하여 Apple silicon에서 SecureToken 및 볼륨 소유권을 유지합니다.
LAPS Library Item 생성
이 Library Item을 Iru Endpoint Library에 추가하려면 Library 개요 문서에 설명된 단계를 따르십시오.1
Library로 이동
Library로 이동하여 Library Item 추가를 선택합니다.
2
LAPS 선택
LAPS를 검색하여 선택합니다.
3
Library Item 이름 지정
Library Item에 이름을 지정합니다.
4
Blueprint에 할당
하나 이상의 Blueprints에 할당합니다.
LAPS Library Item 구성
이러한 설정은 Iru가 생성하는 암호를 제어합니다. 아래 단계에 따라 구성합니다.1
암호에서 가져오기
Password complexity에서 선택적으로 Import from Passcode를 사용하여 Library에 이미 있는 Passcode Library Item의 복잡성 설정을 복사합니다. 암호 Library Item에서만 가져올 수 있으며 Android Work Profile Passcode에서는 가져올 수 없습니다.
macOS는 기기의 암호가 암호 정책을 준수하도록 요구하므로, 기존 Passcode Library Item에서 가져오면 LAPS가 해당 정책과 일치하게 유지됩니다.
2
암호 Library Item 선택
이름으로 검색한 다음 Passcode Library Item을 선택합니다.
3
가져온 암호 설정 검토
가져오기가 성공하면 일치하는 설정에 Imported 배지가 표시됩니다. 가져온 후에도 모든 값을 변경할 수 있습니다.
4
최소 암호 길이
Minimum passcode length를 암호의 최소 전체 길이로 설정합니다. 기본값: 8. 범위: 1~36.
5
최대 암호 길이
Maximum passcode length를 암호의 최대 전체 길이로 설정합니다. 기본값: 15. 범위: 1~36. Minimum passcode length 이상이어야 합니다.
6
단순 암호 허용 안 함
암호에 세 개 이상의 연속 문자(예:
123 또는 CBA)나 네 개 이상의 반복 문자(예: 111 또는 AAA)가 포함되지 않도록 하려면 Disallow simple passcode를 선택합니다. 기본적으로 활성화되어 있습니다.7
영숫자 암호 요구
숫자뿐만 아니라 문자도 요구하려면 Require alphanumeric passcode를 선택합니다. 기본적으로 활성화되어 있습니다.
8
최소 복합 문자 수
Minimum complex characters를 암호에 포함되어야 하는 최소 복합 문자 수로 설정합니다. 복합 문자는
& % $ #와 같이 숫자나 문자가 아닌 문자입니다. 기본값: 4. 범위: 0~36.9
최대 복합 문자 수
Maximum complex characters를 암호에 포함될 수 있는 최대 복합 문자 수로 설정합니다. 기본값: 6. 범위: 1~36. Minimum complex characters 이상이어야 합니다.
10
자동 교체 주기(일)
**Automatically rotate after (days)**를 확인 후 자동 순환(시간)와 관계없이 기기에서 로컬 관리자 암호가 교체되고 Iru에 안전하게 저장되는 주기로 설정합니다. 범위: 1~90일. 기본값: 30일.
11
조회 후 자동 교체(시간)
**확인 후 자동 순환(시간)**를 조회된 로컬 관리자 암호가 교체되는 시점으로 설정합니다. 이 설정은 Automatically rotate after (days)와 독립적으로 실행됩니다. 범위: 1~24시간. 기본값: 2시간.
12
ADE에서 가져오기
Admin users to manage에서 선택적으로 Import from ADE를 사용하여 Automated Device Enrollment 통합의 계정을 채웁니다.
13
ADE 통합 선택
이름으로 검색한 다음 ADE 통합을 선택합니다.
14
가져온 관리자 사용자 검토
가져오기가 성공하면 Iru는 ADE 통합 이름과 함께 Imported settings from을 표시하고 + Add user 아래에 Imported 배지가 나타납니다.
15
관리할 관리자 사용자
이 LAPS 정책이 암호를 관리할 로컬 관리자 계정을 추가합니다. 각 행은 사용자 이름과 해당 Initial password를 정의합니다. 계정이 기기에 있으면 암호가 교체됩니다.+ Add user를 사용하여 다른 행을 추가합니다. 행의 휴지통 컨트롤을 사용하여 행을 제거합니다. 값을 설정하거나 업데이트하는 동안 Initial password의 눈 아이콘을 사용하여 값을 표시하거나 숨깁니다.
Admin users의 암호는 초기 값을 설정하거나 업데이트하는 동안에만 눈 아이콘으로 볼 수 있습니다. 저장한 후에는 Library Item에서 기존 암호를 볼 수 없습니다.
16
LAPS 외부에서 변경된 경우 초기 암호 업데이트
기기에 LAPS가 할당된 후에는 Library Item을 나중에 편집할 때 암호를 다시 입력할 필요가 없습니다. Automated Device Enrollment 또는 Create User Accounts Blueprint Parameter의 암호와 같이 해당 계정의 초기 암호가 LAPS 외부에서 변경된 경우, 현재 기기에 설정된 암호와 일치하도록 여기에서 Initial password를 업데이트하십시오.
17
저장
저장을 클릭합니다.
기기 암호 보기
헬프 데스크 이상의 권한을 가진 사용자는 LAPS 암호를 표시할 수 있습니다. Secrets Auditor 및 Auditor는 암호가 존재하는지 확인할 수 있지만 표시할 수는 없습니다. 암호를 표시하면 조회가 기록되며, LAPS Library Item이 할당된 경우 **확인 후 자동 순환(시간)**가 시작됩니다.1
기기 레코드 열기
Iru Endpoint 웹 앱에서 기기로 이동하여 Mac을 선택합니다.
2
로컬 관리자 암호 보기 선택
기기 레코드 오른쪽 상단의 디바이스 작업 메뉴(줄임표)를 열고 로컬 관리자 암호 보기를 선택합니다. 이 작업은 현재 지워졌거나 잠긴 기기를 포함하여 LAPS 암호가 있었던 모든 기기에서 사용할 수 있습니다.
3
계정 선택
로컬 관리자 암호 보기 대화상자에서 기기에서 관리되는 계정이 둘 이상인 경우 Select an admin user to view its password를 사용하여 계정을 선택합니다.
4
암호 표시
눈 아이콘을 클릭하여 현재 로컬 관리자 암호를 표시합니다. 이 클릭은 누가 언제 암호를 조회했는지 기록하고 **확인 후 자동 순환(시간)**를 시작합니다. 대화상자에는 암호가 표시된 후 구성된 시간이 지나면 기기에서 암호가 교체된다고 안내됩니다.
조회 시점에 LAPS Library Item이 할당되어 있지 않으면 Iru는 **확인 후 자동 순환(시간)**가 적용되지 않는다고 경고합니다. 조회는 여전히 기록됩니다.
5
암호 숨기기
암호가 표시된 후 줄이 그어진 눈 아이콘을 클릭하여 암호를 숨깁니다.
6
암호 복사
복사 아이콘을 클릭하여 암호를 복사합니다.
7
완료 클릭
완료되면 완료를 클릭합니다.
활동 기록 보기
로컬 관리자 암호 활동은 기기 레코드 활동 탭과 Unified Activity에 기록됩니다. 이러한 이벤트는 Activity Page에 표시되지 않습니다.기기 레코드
기기 레코드 활동 탭에서 Iru는 로컬 관리자 암호가 조회, 교체되거나 교체에 실패한 시점을 기록합니다.1
Local Admin Password Viewed 검토
Local Admin Password Viewed 항목에는 로컬 관리자 사용자 이름, 암호를 조회한 사람, 기기 및 시간이 표시됩니다.
2
Local Admin Password Rotated 검토
Local Admin Password Rotated 항목에는 로컬 관리자 사용자 이름, Blueprint, 기기 및 시간이 표시됩니다.
3
Local Admin Password Rotation Failed 검토
Local Admin Password Rotation Failed 항목에는 로컬 관리자 사용자 이름, 이유, Blueprint, 기기 및 시간이 표시됩니다.
Unified Activity
Unified Activity는 로컬 관리자 암호가 조회된 시점과 업데이트된 시점(성공 및 실패 포함)을 기록합니다.1
Unified Activity 필터링
Unified Activity에서 Activity type을 열고 Local admin을 검색한 다음 Endpoint에서 Local admin password viewed, Local admin password updated 또는 둘 다를 선택합니다. Apply를 클릭합니다.
2
Local admin password viewed 검토
Local admin password viewed 항목에는 로컬 관리자 사용자 이름, 암호를 조회한 사람 및 시간이 표시됩니다.
3
Local admin password updated 검토
Local admin password updated 항목을 확장합니다. 성공적인 교체에는 로컬 관리자 사용자 이름에 대해 Rotated for가 표시됩니다. 세부 정보에는 디바이스, Local admin user, Outcome(Local admin password rotated) 및 Completed at이 포함됩니다.
4
실패한 교체 검토
실패한 교체는 동일한 Local admin password updated 활동 유형을 사용합니다. 로컬 관리자 사용자 이름에 대해 Rotation failed for가 표시됩니다. 세부 정보에는 Outcome(Local admin password rotation failed) 및 Reason이 포함됩니다.
5
기기로 이동
활동 항목 옆의 줄임표(…)를 클릭하고 Go to device를 선택하여 관련 기기 레코드를 엽니다.
고려 사항
관리자 계정 전용
LAPS는 로컬 관리자 계정만 관리합니다. 표준 계정은 오류와 함께 거부됩니다.
기기당 하나의 LAPS Library Item
기기에는 하나의 LAPS Library Item만 할당할 수 있습니다. 두 번째 Library Item 할당은 지원되지 않습니다.
현재 암호 필요
이 Library Item에서 정의하는 각 로컬 관리자의 기존 암호를 제공해야 합니다. Iru는 이를 사용하여 Apple silicon에서 SecureToken 및 볼륨 소유권을 유지합니다. Iru에 기록된 기기의 현재 암호가 동기화되지 않은 경우 Iru 지원팀에 문의하십시오. SecureToken이 없으면 해당 계정은 재시동 후 FileVault의 잠금을 해제할 수 없습니다.
재등록 시 다음 체크인에서 교체
기기를 재등록하면 **Automatically rotate after (days)**의 남은 기간과 관계없이 다음 체크인 시 암호가 교체됩니다.
Set Auto Admin Password 사용 불가
LAPS가 할당된 경우 Set Auto Admin Account Password 기기 작업을 사용할 수 없습니다. LAPS가 해당 암호를 관리합니다.
암호를 표시할 수 있는 사용자
헬프 데스크 이상의 권한을 가진 사용자는 LAPS 암호를 표시할 수 있습니다. Secrets Auditor 및 Auditor는 표시할 수 없습니다. 암호를 표시하면 LAPS Library Item이 할당된 경우에만 **확인 후 자동 순환(시간)**가 시작됩니다.
모범 사례
1
암호 설정 재사용
이미 조정한 기존 Passcode Library Item이 있는 경우 해당 항목에서 복잡성 설정을 가져와 LAPS와 Passcode가 일관되게 유지되도록 합니다.
2
규정 준수 요구 사항에 맞추기
Automatically rotate after (days) 및 **확인 후 자동 순환(시간)**를 사용하여 편의성과 조회된 암호의 유효 기간 사이의 균형을 맞춥니다.
3
교체 활동 검토
암호 교체에 실패하면 Unified Activity 또는 기기 레코드 활동 탭에서 Reason 필드를 확인합니다. 대부분의 실패는 원인을 직접 명시합니다.
문제 해결
'ADE'에서 가져올 관리자 계정이 없습니다.
'ADE'에서 가져올 관리자 계정이 없습니다.
가능한 원인:
- ADE 통합에 로컬 관리자 계정이 정의되어 있지 않음
- Automated Device Enrollment에서 로컬 관리자 계정이 구성되어 있는지 확인한 다음 다시 가져옵니다
'ADE'의 관리자 사용자가 이미 목록에 있습니다.
'ADE'의 관리자 사용자가 이미 목록에 있습니다.
가능한 원인:
- 해당 ADE 통합에서 이미 가져옴
- 동일한 사용자 이름을 수동으로 추가함
- 기존 행을 유지합니다. Iru는 중복 항목을 추가하지 않습니다.
암호 교체에 실패함
암호 교체에 실패함
암호 교체에 실패하면 Unified Activity의 Reason(
Reason: <cause>) 또는 기기 레코드 활동 탭(<username>: <cause>)을 확인합니다.가능한 원인:- Reason 필드에 잠긴 키체인과 같은 원인이 명시됨
- 계정이 로컬 관리자가 아님
- Iru에 저장된 현재 암호가 기기와 일치하지 않음
- 계정이 관리자인지 확인합니다. LAPS는 표준 계정을 관리하지 않습니다
- 자동 재시도는 없습니다. 다음 시도는 **Automatically rotate after (days)**를 따릅니다
- 저장된 암호가 동기화되지 않은 경우 Iru 지원팀에 문의하십시오
암호를 조회했지만 교체되지 않음
암호를 조회했지만 교체되지 않음
가능한 원인:
- 조회 시점에 기기에 LAPS Library Item이 할당되지 않음
- 앞으로 확인 후 자동 순환(시간) 및 **Automatically rotate after (days)**를 적용하려면 LAPS Library Item을 할당합니다
- **확인 후 자동 순환(시간)**가 시작되지 않더라도 조회는 여전히 기록됩니다
기기 작업에서 Set Auto Admin Password가 누락됨
기기 작업에서 Set Auto Admin Password가 누락됨
가능한 원인:
- 이 기기에 LAPS가 할당되어 있어 충돌하는 MDM 명령이 숨겨짐
- LAPS가 할당된 경우 예상된 동작입니다. 대신 로컬 관리자 암호 보기를 사용하십시오
- Set Auto Admin Password 작업이 필요한 경우에만 기기의 Blueprint에서 LAPS를 제거하십시오
관리자 계정이 교체되지 않음
관리자 계정이 교체되지 않음
가능한 원인:
- 계정이 관리자가 아님
- 계정이 기기에 없음
- Library Item의 현재 암호가 기기의 계정과 일치하지 않음
- 계정이 로컬 관리자인지 확인합니다
- 사용자 이름이 Mac의 계정과 일치하는지 확인합니다
- Iru가 계정을 인수할 수 있도록 처음 할당할 때 현재 암호를 제공합니다
관련 문서
Library 개요
Library Items를 선별, 생성 및 관리하고 Blueprints에 추가합니다.
Iru Agent 및 MDM
LAPS는 에이전트 기반이므로 Apple의 MDM 프로토콜과 독립적으로 작동합니다.
통합 활동
로컬 관리자 암호 조회 및 업데이트 이벤트는 Activity Page가 아닌 Unified Activity에 표시됩니다.
사용자 계정 만들기
LAPS가 교체할 로컬 관리자 계정을 생성합니다. LAPS는 계정을 생성하지 않습니다.
Passcode Library Item 구성
LAPS로 가져올 수 있는 설정을 포함하여 암호 요구 사항을 강제합니다.
Recovery Password Library Item 구성
Apple silicon 및 Intel이 탑재된 Mac 컴퓨터에서 복구 암호를 구성합니다.
Auto Admin 계정 암호 설정
LAPS가 할당되어 있는 동안 LAPS가 대체하는 MDM 명령입니다.
Automated Device Enrollment 구성
관리자 계정을 가져올 수 있는 ADE 통합입니다.
FileVault 구성
Mac 컴퓨터의 FileVault 암호화 및 복구 키입니다.