Hver Windows-maskine har en lokal administratorkonto, som lever uden for kataloget. Når den konto har samme adgangskode på alle klienter og servere, er en enkelt maskine nok til at åbne for resten. Svaret på fundet hviler på et enkelt princip: hver maskine skal have sin egen adgangskode til den lokale administrator, den skal skiftes automatisk, og kun de rette personer skal kunne slå den op.
Fundet er velkendt, og rettelsen er velbeskrevet. Alligevel går det igen, fordi den fælles adgangskode kan være bygget ind i den måde, maskinerne bliver sat op på.
Hvordan det opstår
Den fælles adgangskode er ikke nødvendigvis et bevidst valg. Den kommer med i den standardopsætning, som alle nye maskiner installeres fra, og den lever videre, fordi den er praktisk. Servicedesken kan logge på enhver maskine, når netværket driller, og en tekniker på en filial kan klare en opgave uden at ringe hjem.
Mange miljøer har desuden flere lag: én adgangskode på klienterne, en anden på serverne og en tredje, som en tidligere driftsleverandør satte op og aldrig fik fjernet. Ingen af dem er skiftet i årevis, og flere personer kender dem, end listen over administratorer viser. Fordi kontoen er lokal, dukker den heller ikke op, når I gennemgår grupper og rettigheder i kataloget, og den bliver derfor let glemt i den almindelige oprydning.
Det, testen ser på
En intern test undersøger, om en lokal administratoradgangskode fra én maskine også virker på andre. Den gør det uden at ændre noget, og resultatet beskrives som en konstatering af, hvor langt adgangskoden rækker.
- Rækkevidde · hvor mange maskiner den samme adgangskode giver adgang til, og om den virker på både klienter og servere.
- Ekstra lokale konti · konti oprettet til support eller installation, som ligger ved siden af den indbyggede administrator.
- Opbevaring · om adgangskoden står i scripts, installationsfiler eller dokumentation, som almindelige brugere kan læse. → Adgangskoder i scripts og konfigurationsfiler
- Brugere med lokale rettigheder · om almindelige brugere selv er administratorer på deres maskine, så vejen til den lokale konto er kort. → Brugerrettigheder på klienter
- Central styring · om der allerede findes en løsning til at styre lokale adgangskoder, og om den faktisk dækker alle maskiner.
Det sidste punkt er vigtigt. Et miljø kan have central styring slået til for klienterne, mens serverne, de virtuelle maskiner eller en gruppe ældre enheder står udenfor.
Hvorfor fundet vejer tungt
Microsoft skriver i sine anbefalinger for at sikre Active Directory, at samme loginoplysninger på lokale privilegerede konti på tværs af alle systemer er en risikabel opsætning. Begrundelsen er enkel. Adgang til én maskine kan blive til adgang til mange, og blandt de mange kan der være en server, hvor en administrator fra domænet har været logget på.
Derfor kan fundet stå som et led i en længere vej i rapporten. Det giver ikke i sig selv kontrol over kataloget, men det gør det let at bevæge sig fra en almindelig klient til steder, hvor mere værdifulde konti har efterladt spor. → Active Directory-test i dybden
Læg også mærke til, hvilke maskiner der deler adgangskode med serverne. Deler en almindelig klient adgangskode med en server, der kører et forretningssystem eller backup, er fundet mere akut, end hvis det kun gælder klienterne indbyrdes.
Sådan retter I det som princip
Rettelsen er en ændring af den måde, maskiner bliver administreret på, og den bør planlægges som det.
- Kortlæg · find ud af, hvilke lokale konti der findes, hvilke adgangskoder der deles, og hvem der bruger dem i dag.
- Indfør central styring · hver maskine får sin egen adgangskode, som skiftes automatisk og gemmes et sikkert sted. Microsoft har en indbygget funktion til netop det, der understøtter både lokalt katalog og Entra ID.
- Styr, hvem der kan slå op · adgang til at læse de gemte adgangskoder er i sig selv en privilegeret rettighed og skal begrænses til dem, der har brug for den.
- Fjern de ekstra konti · lokale konti oprettet til gamle formål slettes eller deaktiveres.
- Skift det kendte · den gamle fælles adgangskode skal betragtes som kendt, også på maskiner, der endnu ikke er overgået til central styring.
Rul ud i trin, og begynd med serverne og de maskiner, administratorer bruger. Tjek undervejs, at servicedesken og eventuelle eksterne teknikere har en ny vej til at hente adgangskoden, når de har brug for den. Ellers opstår nye lokale konti i al stilhed. → Rettelser uden at stoppe driften
Er driften lagt ud, hører rettelsen naturligt hjemme i samtalen med driftsleverandøren. Aftal, hvem der ejer den centrale styring, og hvem der må slå adgangskoder op. → Rettelser efter kundens test
Når en leverandør kender adgangskoden
En MSP kan have haft brug for lokal adgang til kundernes maskiner, og den fælles adgangskode kan være delt med teknikere, som har skiftet job siden. For MSP’en selv er spørgsmålet større end den enkelte kunde: bruges samme lokale adgangskode hos flere kunder, rækker fundet ud over én virksomhed.
Gør det derfor til en fast del af rettelsen at afklare, hvem uden for huset der kender den gamle adgangskode, og hvordan eksterne teknikere fremover får adgang. Den nye adgang bør være personlig og kunne spores, så det bagefter kan ses, hvem der loggede på hvilken maskine. → Fælles administrationskonti hos MSP’en
Det skal I lade være med
- At rette serverne og glemme klienterne. Vejen kan starte på en almindelig klient.
- At skifte den fælles adgangskode til en ny fælles adgangskode. Problemet er det samme bagefter.
- At give alle i IT ret til at slå lokale adgangskoder op. Den ret skal begrænses som enhver anden privilegeret adgang.
- At overse maskiner uden for den centrale styring. Ældre enheder og virtuelle maskiner falder let udenfor.
- At lade den gamle adgangskode stå i dokumentation og scripts. Den skal fjernes, når den er udfaset.
Hvad kan og ikke kan konkluderes
Testen viser, om en lokal adgangskode gik igen på de maskiner, der var i scope, og hvor langt den rakte i testperioden. Den kan ikke vise, at alle maskiner er dækket, hvis nogle var slukket eller uden for netværket. Et fund på få maskiner kan dække over et større problem, og et tomt resultat siger kun noget om de maskiner, der faktisk blev undersøgt.
Tjekliste til lokale administratorkonti
- ☐ Ved I, hvilke lokale konti der findes på klienter og servere?
- ☐ Har hver maskine sin egen adgangskode, som skiftes automatisk?
- ☐ Er retten til at slå adgangskoder op begrænset?
- ☐ Er ekstra lokale konti fra gamle formål fjernet?
- ☐ Er den gamle fælles adgangskode skiftet overalt og fjernet fra dokumentation?
- ☐ Er alle maskiner, også virtuelle og ældre, dækket af styringen?
Kilder
- Microsoft Learn: Windows LAPS overview: lokale administratorkonti deler ofte samme adgangskode på mange enheder; den indbyggede funktion skifter og gemmer adgangskoden for hver enhed i AD eller Entra ID.
- Microsoft Learn: Best practices for securing Active Directory: samme loginoplysninger på lokale privilegerede konti på tværs af systemer nævnt som risikabel opsætning.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Gruppepolitikker som testområde · Privilegerede grupper i Active Directory
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
