Die folgende Anleitung enthält einen Beispiel-Workflow für die Erstellung eines Jamf Management Framework LAPS-Accounts und eines MDM LAPS-Accounts in der Jamf Pro Benutzeroberfläche sowie die Verwendung von LAPS über die Jamf Pro API. Abhängig von Ihren Registrierungsworkflows können Sie nur einen LAPS-Account oder keinen anlegen.
- Führen Sie in Jamf Pro die folgenden Schritte durch:
- Navigieren Sie zu Einstellungen > Benutzerinitiierte Registrierung > Computer und wählen Sie Verwalteten lokalen Administratoraccount erstellen aus.
- Navigieren Sie zu Computer > PreStage-Registrierungen > Accounteinstellungen und wählen Sie Verwalteten lokalen Administratoraccount vor dem Systemassistenten erstellen aus.
- Registrieren Sie einen Computer über die Automatische Geräteregistrierung.
- Rufen Sie dieJamf Pro Verwaltungs-ID des Computers über den folgenden Endpunkt auf: /v1/computers-inventory
- Rufen Sie die LAPS-Accounts über den folgenden Endpunkt auf: -/v2/local-admin-password/{{management_id}}/accounts
In diesem Szenario hat der Computer zwei LAPS-Accounts.
- Zeigen Sie die LAPS-Passwörter über den folgenden Endpunkt an: -/v2/local-admin-password/{{management_id}}/account/{{username}}/password
Das Anzeigen der LAPS-Passwörter löst automatisch eine Rotation der Passwörter entsprechend Ihren LAPS-Einstellungen aus.
- Zeigen Sie den Prüfverlauf für die LAPS-Passwörter über den folgenden Endpunkt an: -/v2/local-admin-password/{{management_id}}/account/{{username}}/audit Sie können jetzt die zuvor ausgelösten Passwortrotationen einsehen. Je nachdem, welcher LAPS-Benutzer zuvor abgerufen wurde, zeigt das Ergebnis nun an, dass das Passwort eingesehen wurde.Hinweis:
Für eine erfolgreiche Überprüfung empfiehlt Jamf, dass sich Administratoren niemals über einen gemeinsamen Benutzeraccount auf dem Jamf Pro Server anmelden. Erwägen Sie zudem die Aktivierung der Jamf Pro Passwortrichtlinienfunktion, um diesen Account für die Passwortwiederherstellung zu aktivieren. Außerdem sollte jeder Serveradministrator einen eindeutig identifizierbaren Benutzernamen mit den erforderlichen Berechtigungen verwenden.
- Zeigen Sie den Verlauf der Rotation für die LAPS-Accounts über den folgenden Endpunkt an: -/v2/local-admin-password/{{management_id}}/account/{{username}}/history
Sie sollten nun den gesamten Verlauf der LAPS-Passwortrotation für die LAPS-Benutzer sehen, die Sie bisher verwendet haben.
- Zeigen Sie ausstehende Rotationen über den folgenden Endpunkt an: -/v2/local-admin-password/pending-rotations
Abhängig von den Einstellungen, die zu Beginn des Vorgangs aktiviert wurden, sind möglicherweise einige Rotationen noch nicht abgeschlossen. Über diesen Endpunkt können Sie die noch ausstehenden Rotationen einsehen. Wenn keine Einträge angezeigt werden, sind alle LAPS-Rotationsvorgänge abgeschlossen.
- (Optional) Legen Sie das Passwort manuell über den folgenden Endpunkt fest: -/v2/local-admin-password/{{management_id}}/set-passwordÜber diesen Endpunkt können Sie anstelle eines LAPS-Rotationsprozesses ein Passwort manuell mithilfe der LAPS-Logik festlegen.Hinweis:
Wenn Sie eine Payload Code in einem nativ in Jamf Pro erstellten Konfigurationsprofil verwenden, erreichen LAPS-generierte Passwörter die strengsten Werte und übertreffen sie. Wenn das Passwort manuell über diesen Endpunkt festgelegt wird, entsprechen die Passwörter möglicherweise nicht den Einschränkungsanforderungen und die Benutzer werden dazu aufgefordert, das Passwort manuell zu ändern, wenn sie sich mit LAPS-Administratoraccounts anmelden.