Tipp: GUI für Windows LAPS mit Anzeige der History

[English]Heute noch ein kleiner Tipp für Administratoren in Firmenumgebungen, die LAPS einsetzen. Blog-Leser Heiko hat hat mich zum Sonntag angeschrieben, und mich auf eine von ihm in PowerShell geschriebene Grafik-Umgebung hingewiesen, mit der man die Windows LAPS-Passwörter samt Kennworthistorie anzeigen lassen kann.

Windows Local Administrator Password Solution (Windows LAPS) ist ein Feature, mit dem das Kennwort eines lokalen Administratorkontos auf den in Windows Server Active Directory oder Azure Active Directory eingebundenen Geräten automatisch verwaltet und gesichert werden kann. Diese lokale Administratorkennwortlösung (Local Administrator Password Solution, LAPS) von Microsoft stellt die Verwaltung der Kennwörter lokaler Administratorkonten für in eine Domäne eingebundenen Computer bereit.

Kürzlich hatte ich ja erwähnt, dass Microsoft einen LAPS-Client mit den April 2023-Updates in verschiedenen Windows-Clients integriert hat. Was irgendwie fehlt, ist eine grafische Oberfläche zum Abrufen von Windows LAPS-Passwörtern. Blog-Leser Heiko hat sich dieser Geschichte angenommen und mit Sonntag per Mail auf seine Lösung hingewiesen. Dazu schrieb er:

Microsoft stellt ja aktuell leider keine eigen GUI für das Abrufen der Windows LAPS-Passwörter bereit, welche ohne RSAT-Tools funktioniert. Auch zeigt der Tab in den RSAT-Tools (Active Directory-Benutzer und Computer) die Passwort-Historie für einen Rechnern nicht an.

Das war für ihn Motivation, sich hinzusetzen und in PowerShell eine kleine GUI zu verfassen, die genau diese Aufgaben erledigt. Dazu schrieb er:

Daher hat es sich ergeben, dass ich in den letzten Tagen eine kleine (PowerShell-)Gui geschrieben habe, welche beides bietet. Sie ist stand-alone (portable) und zeigt die aktuellen Passwörter, sowie die Historie an. (Aktuell wird Azure nicht unterstützt.)

Auch wenn es keine Azure-Unterstützung gibt, sollte die PowerShell-GUI für Administratoren vielleicht einen Blick wert sein. Die PowerShell-Scripte werden von Heiko auf GitHub in diesem Repository als Simple LAPS GUI unter MIT-Lizenz gehostet und lassen sich kostenfrei herunterladen.

Heiko schreibt zu den Funktionen und Merkmalen seiner Entwicklung folgendes:

• Einfach und schnell bedienbar: Starten der ausführbare Datei, Computernamen eingeben und die ENTER-Taste drücken.
• Unterstützt Microsoft LAPS (Legacy) und Windows LAPS in Active Directory-Umgebungen.
• Auslesen des aktuellen Kennworts, des aktuellen Ablaufzeitstempels und der Kennworthistorie (Nur bei Windows LAPS verfügbar) aus den Computerobjekten im lokalen Active Directory.
• Kopieren der Kennwörter (aktuell und Historie) über das Kontextmenü.
• Der Ablaufzeitstempel kann angepasst werden.
• Das Fenster kann durch Drücken der ESCAPE-Taste geschlossen werden.

Benötigt werden die PowerShell ab Version 5.1 swoie das Windows LAPS PowerShell-Modul. Das GitHub-Archiv muss heruntergeladen und entpackt werden. Die Nutzung erfordert einen mit Active Directory verbundenen Windows-Rechner, um ordnungsgemäß zu funktionieren. Aktuell wird noch kein Azure AD unterstützt.

Heiko meint dazu: Ich könnte mir vorstellen, dass einige Administratoren das kleine Helferlein gebrauchen können. Vielleicht möchten Sie es in Ihrem Blog ja mal kurz erwähnen und vorstellen. An dieser Stelle mein Dank an Heiko – vielleicht ist die GUI ja hilfreich. Ihr könnt ja ggf. ein Feedback hinterlassen.

Ergänzung: Es wurde ja in den Kommentaren angemerkt, aktuell meldet Virustotal die .exe-Datei als gefährlich. Ich habe Heiko gebeten, das zu klären. Als Zwischenstand folgende Information von ihm: Ich bin am prüfen und es scheint an einem Parameter von ps2exe zu liegen (siehe diesen issues-Eintrag). Heiko plant eine FAQ in der Readme anzulegen. Möglicherweise realisiert er es ohne den Parameter und zwei Downloads: Exe und Powershell. Seine Erklärung: Die Exe ist tatsächlich nur zum Ausblenden der PowerShell und damit es in der Taskleiste/Taskmanager eigenständig ist.

Ähnliche Artikel:
LAPS-Integration per April 2023-Update in Windows – Ärger für Administratoren
Windows Server Active Directory-Schema für die aktuelle Windows LAPS-Version aktualisieren