|
Detecta TODAS las OUs donde LAPS está realmente aplicado
Comprueba permisos LAPS (lectura, cifrado, self‑permission)
Detecta inconsistencias
Genera un informe claro en pantalla
Write-Host "=== AUDITORIA LAPS EN OUs CON EQUIPOS ===" -ForegroundColor Cyan
# Ruta del script para guardar el CSV en la misma carpeta
$scriptPath = Split-Path -Parent $MyInvocation.MyCommand.Path
# Fecha y hora para el archivo
$timestamp = (Get-Date).ToString("yyyyMMdd_HHmm")
# Detectar atributos disponibles en el esquema
$schema = (Get-ADObject -SearchBase (Get-ADRootDSE).schemaNamingContext -LDAPFilter "(objectClass=attributeSchema)" -Properties lDAPDisplayName).lDAPDisplayName
$hasNewLAPS = $schema -contains "msLAPS-PasswordExpirationTime"
$hasLegacyLAPS = $schema -contains "ms-Mcs-AdmPwdExpirationTime"
Write-Host "Atributos detectados:" -ForegroundColor Yellow
Write-Host " - Windows LAPS: $hasNewLAPS"
Write-Host " - LAPS Legacy: $hasLegacyLAPS"
Write-Host ""
# Construir lista de propiedades validas
$props = @()
if ($hasNewLAPS) { $props += "msLAPS-PasswordExpirationTime" }
if ($hasLegacyLAPS) { $props += "ms-Mcs-AdmPwdExpirationTime" }
# Obtener todas las OUs
$OUs = Get-ADOrganizationalUnit -Filter *
$results = @()
$OUsSinPermisos = @()
$OUsPeligrosas = @()
foreach ($ou in $OUs) {
$ouDN = $ou.DistinguishedName
# Obtener equipos de la OU
try {
$computers = Get-ADComputer -Filter * -SearchBase $ouDN -Properties $props -ErrorAction Stop
}
catch {
continue
}
# Saltar OUs sin equipos
if ($computers.Count -eq 0) { continue }
# 1. Intentar obtener permisos LAPS sin romper el script
try {
$rights = Find-LapsADExtendedRights -Identity $ouDN -ErrorAction Stop
}
catch {
$rights = $null
}
# 2. Detectar si hay equipos con atributos LAPS
$lapsActive = $false
foreach ($c in $computers) {
foreach ($p in $props) {
if ($c.$p) { $lapsActive = $true; break }
}
if ($lapsActive) { break }
}
# 3. SELF permission
$selfPermission = $false
if ($rights) {
if ($rights.ExtendedRightHolders -match "SELF") { $selfPermission = $true }
}
# 4. Detectar automaticamente todos los grupos con permisos LAPS
$gruposLAPS = @()
if ($rights) {
foreach ($g in $rights.ExtendedRightHolders) {
if ($g -notmatch "SELF") {
$gruposLAPS += $g
}
}
}
# Registrar OUs sin permisos correctos
if (-not $selfPermission -or $gruposLAPS.Count -eq 0) {
$OUsSinPermisos += $ouDN
}
# Registrar OUs con demasiados grupos (riesgo)
if ($gruposLAPS.Count -gt 3) {
$OUsPeligrosas += $ouDN
}
# Resultado
$results += [PSCustomObject]@{
OU = $ouDN
PermisosLAPS = if ($rights) { "Si" } else { "No" }
SELF = if ($selfPermission) { "Si" } else { "No" }
GruposConPermisos = if ($gruposLAPS.Count -gt 0) { ($gruposLAPS -join "; ") } else { "Ninguno" }
EquiposConLAPS = if ($lapsActive) { "Si" } else { "No" }
NumeroEquipos = $computers.Count
}
}
# Mostrar tabla
$results | Sort-Object OU | Format-Table -AutoSize
# Exportar CSV en la misma carpeta del script
$exportPath = "$scriptPath\LAPS_Auditoria_$timestamp.csv"
$results | Sort-Object OU | Export-Csv $exportPath -NoTypeInformation -Encoding UTF8
Write-Host "`nCSV exportado en: $exportPath" -ForegroundColor Green
# Mostrar recomendaciones al final
Write-Host ""
Write-Host "=== RECOMENDACIONES ===" -ForegroundColor Cyan
Write-Host "`n1) OUs sin permisos LAPS correctos:" -ForegroundColor Yellow
if ($OUsSinPermisos.Count -eq 0) {
Write-Host " - Todas las OUs estan correctamente configuradas."
} else {
$OUsSinPermisos | ForEach-Object { Write-Host " - $_" }
}
Write-Host "`n2) Como aplicar permisos LAPS a todas las OUs con PCs:" -ForegroundColor Yellow
Write-Host " Set-LapsADComputerSelfPermission -Identity <OU>"
Write-Host " Set-LapsADReadPasswordPermission -Identity <OU> -AllowedPrincipals <GrupoLectura>"
Write-Host " Set-LapsADPasswordEncryptionAllowedPrincipals -Identity <OU> -AllowedPrincipals <GrupoLectura>"
Write-Host "`n3) OUs con permisos peligrosos (demasiados grupos con acceso):" -ForegroundColor Yellow
if ($OUsPeligrosas.Count -eq 0) {
Write-Host " - No se han detectado OUs con exceso de grupos."
} else {
$OUsPeligrosas | ForEach-Object { Write-Host " - $_" }
}
Write-Host "`n=== FIN DE AUDITORIA ===" -ForegroundColor Cyan | 
%20-%20Word.jpg)
%20-%20Word.jpg)
%20-%20Word.jpg)
%20-%20Word.jpg)
