如何在 Intune 中启用 LAPS 自动帐户创建

使用 Windows LAPS 自动创建帐户终于来了！在 Windows 11 Insider Preview Build 26040（金丝雀频道）发行说明中宣布，管理员现在可以配置 LAPS 策略来自动创建和管理本地管理员帐户，而无需事先将其存在于工作站上！

本文将向您展示如何使用 Microsoft Intune 为 Windows LAPS 启用自动帐户创建。

Windows LAPS 自动帐户创建

自 LAPS 发布以来，直接在 Windows LAPS 配置设置中自动创建帐户的功能一直是日志所需的功能。管理员一直在努力安全、一致地创建本地管理员帐户。以前我们依靠 RMM、MDM 和 PowerShell 脚本来创建用户，现在 Microsoft 为我们提供了这个开箱即用的功能！

如果您尚未部署，则必须在您的环境中部署 Windows LAPS。如果您还没有做到这一点，请查看我的帖子：如何逐步设置 Windows LAPS。

或者，如果您想快速部署所需的设置，而无需单击管理门户，请参阅我的文章：使用 Microsoft Graph PowerShell 在 Intune 中配置 LAPS，让单个脚本为您完成这一切！

现在可以使用配置文件中的自定义 CSP 设置来配置新的 LAPS 配置设置。请按照以下步骤配置自动帐户创建：（使用设置目录或模板尚不可用）。

2. 选择平台为Windows 10及更高版本，将配置文件类型设置为模板，然后选择自定义并点击创建。

3. 添加以下 OMA-URI 设置：

./设备/供应商/MSFT/LAPS/策略/AutomaticAccountManagementEnableAccount
- 类型：布尔型
- 值：真实
- 说明：使用此设置启用或禁用自动管理帐户。
./设备/供应商/MSFT/LAPS/策略/AutomaticAccountManagementEnabled
- 类型：布尔型
- 值：真实
- 说明：使用此设置启用自动帐户管理。
./Device/Vendor/MSFT/LAPS/Policies/AutomaticAccountManagementNameOrPrefix
- 类型：字符串
- 值：短前缀-
- 说明：使用此设置指定自动管理帐户的名称或名称前缀。
./Device/Vendor/MSFT/LAPS/Policies/AutomaticAccountManagementRandomizeName
- 类型：布尔型
- 值：真实
- 说明：使用此设置启用自动管理帐户名称的随机化。
./设备/供应商/MSFT/LAPS/策略/AutomaticAccountManagementTarget
- 类型：布尔型
- 值：真实
- 说明：使用此设置指定是自动管理内置管理员帐户还是新的自定义帐户。
./设备/供应商/MSFT/LAPS/策略/PasswordComplexity
- 类型：整数
- 值：1,2,3,4,5,6,7,8
- 说明：使用此设置可配置托管本地管理员帐户所需的密码复杂性，或指定创建密码。
- 参考：https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-management-policy-settings#passwordcomplexity

4. 现在，只需继续执行配置文件向导并将策略分配给任何设备组（或所有设备）。

当设备下次同步到 Intune 时，将应用 CSP 设置，并且注册表将自动更新（这不需要需要重新启动，这将是无缝的）。

该帐户将立即启用并添加到本地管理员组中，并附有说明：此帐户当前由您的公司管理员自动管理。

要从 Microsoft Intune 获取用户名和密码，您可以像以前一样使用 Intune 门户。

1.登录https://intune.microsoft.com/

2. 选择设备 > 所有设备，然后单击您的设备。

3. 在监控下，选择本地管理员密码，然后选择显示本地管理员密码和显示。

当您从 Intune（或其他方式）重置设备的圈数密码时，LAPS 帐户用户名和密码都将更改。 但是，帐户的 SID 将保持不变。