主页 / server / 问题 / 1144499
Accepted
David Trevor
Asked: 2023-09-26 23:01:05 +0800 CST

新 LAPS - 授权密码解密器未按预期更新权限

  • 772
  1. 创建了一个新组DOMAIN\LapsAdmins。目前空着。
  2. 配置 GPOConfigure Authorized password decryptors以指向我的组DOMAIN\LapsAdmins
  3. 强制server1为本地管理员帐户创建新的加密密码
  4. Get-LapsADPassword server1 -AsPlainText -IncludeHistory

正如预期的那样，我的用户DOMAIN\dtrevor无法解密密码。

  1. 已添加DOMAIN\dtrevor至群组DOMAIN\LapsAdmins
  2. 使用用户注销并登录DOMAIN\dtrevor
  3. Get-LapsADPassword server1 -AsPlainText -IncludeHistory

正如预期的那样，我的用户DOMAIN\dtrevor可以解密并查看所有密码，包括当前密码和整个密码历史记录

  1. DOMAIN\dtrevor已从群组中删除DOMAIN\LapsAdmins
  2. 使用用户注销并登录DOMAIN\dtrevor
  3. gpupdate /force继续跑server1
  4. 强制server1为本地管理员帐户创建新的加密密码
  5. Get-LapsADPassword server1 -AsPlainText -IncludeHistory

出乎意料的是，我的用户DOMAIN\dtrevor仍然可以解密并查看所有密码，包括新生成的密码以及整个密码历史记录。为什么？

windows

1 个回答

  1. Best Answer

    微软的 Jay Simmons 在有关新 LAPS 的官方博客文章中回答了这个问题。答案在第7页的评论部分。

    问题中提到的行为是由于 DPAPI 的缓存机制造成的。

    您可能会看到此行为，因为 DPAPI 的默认行为会缓存从 AD 检索的解密密钥。尝试这个：

    1. 将用户从授权解密组中删除

    2. 刷新用户的限制票证（klist purge）（或再次注销\登录）

    3. 从用户的本地配置文件目录中删除所有缓存的 DPAPI\KDS 密钥（在配置文件中查找隐藏目录，我相信它类似于“AppData\Local\Microsoft\Crypto\KdsKey”）。

    4. 重新运行密码解密尝试 - 现在应该会失败。

    这意味着只要缓存的密钥保留在本地计算机上，用户仍然可以解密旧密码。实际上，这似乎没什么大不了的，因为当您想要撤销访问权限时，您还会从 AD 字段中删除 ACL，因此用户首先无法访问加密值。

    • 0

相关问题