LAPS jetzt Bestandteil von Windows

[NorbertFe 2.027]

Hi,

 

über Marks Artikel bin ich drauf aufmerksam geworden, deswegen hier der Hinweis für alle, denen es auch durchgerutscht ist. ;)

 

https://www.gruppenrichtlinien.de/artikel/migration-laps-legacy-zu-laps-nativ

https://techcommunity.microsoft.com/t5/windows-it-pro-blog/by-popular-demand-windows-laps-available-now/ba-p/3788747/

 

 

Sieht dann so aus. ;)

[phatair 39]

Wichtig ist noch, dass es Probleme gibt, wenn das Windows LAPS per April 2023 Update installiert wird und danach das Legacy LAPS zusätzlich installiert wird (oder eine legacy Policy aktiviert wird, dass weiß ich nicht genau). Ist ja oft beim onboarding der Fall, dass Clients erst die aktuellen Patches bekommen und dann mit Software bespielt werden.

 

Note: We have verified a reported legacy LAPS interop bug in the above April 11, 2023 update. If you install the legacy LAPS GPO CSE on a machine patched with the April 11, 2023 security update and an applied legacy LAPS policy, both Windows LAPS and legacy LAPS will break. Symptoms include Windows LAPS event log IDs 10031 and 10032, as well as legacy LAPS event ID 6. Microsoft is working on a fix for this issue. You can work around this issue by either: a) uninstalling legacy LAPS, or b) deleting all registry values under the HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\State registry key.

[NorbertFe 2.027]

Naja dann baut man das eben mal um. ;) Deployment nur noch an Clients die nicht vom aktuellen LAPS supported sind. Das reduziert dann schonmal drastisch den Deploymentaufwand. ;) Und dann noch neue GPOs und die alte auf Windows 2016 per WMI filtern.

Es gibt noch diverse andere "Problemchen" mit den admx/adml.

bearbeitet 17. April 2023 von NorbertFe

[phatair 39]

Wollte nur noch mal explizit drauf hinweise. Das man den Prozess anpassen kann, steht ja außer Frage :)

[NorbertFe 2.027]

Ja alles gut. :)

[Dayworker 10]

Hallo,

 

der LAPS Reiter, der oben gezeigt wird, wird mit den RSAT Tools nicht angezeigt. Auf allen DC´s soweit ist es OK, da funzt alles.

Wir haben für Bereichadmins die ADUC per Citrix VA veröffentlicht.....dort wird der Reiter LAPS auch nicht angezeigt. Alle Systeme sind voll gepatcht.

 

Hat jemand ne Idee dazu?

 

 

Danke und Gruß

 

Dayworker

[NorbertFe 2.027]

vor einer Stunde schrieb Dayworker:

Hat jemand ne Idee dazu?

 

Einfach die Kommentare hier lesen:

https://techcommunity.microsoft.com/t5/windows-it-pro-blog/by-popular-demand-windows-laps-available-now/ba-p/3788747/page/4#comments

Zitat

Correct, Windows LAPS ADUC support is not included in RSAT at this time.  Workaround for now is to use PowerShell.

 

[Dayworker 10]

vor 4 Minuten schrieb NorbertFe:

Einfach die Kommentare hier lesen:

https://techcommunity.microsoft.com/t5/windows-it-pro-blog/by-popular-demand-windows-laps-available-now/ba-p/3788747/page/4#comments

 

Ok Danke für Deine Antwort...ich hatte es befürchtet. 

[NilsK 2.930]

Moin,

 

wenn man wüsste, welche DLL dafür zuständig ist und wie die angesprochen wird, könnte man die evtl. einbinden. Wäre aber ohne offiziellen Support ein kruder Hack, den man bei einem Sicherheitsthema eher nicht haben möchte.

 

Gruß, Nils

 

[Dayworker 10]

vor 7 Minuten schrieb NilsK:

Moin,

 

wenn man wüsste, welche DLL dafür zuständig ist und wie die angesprochen wird, könnte man die evtl. einbinden. Wäre aber ohne offiziellen Support ein kruder Hack, den man bei einem Sicherheitsthema eher nicht haben möchte.

 

Gruß, Nils

 

Alles gut...ich denke MS wird das nachrüsten...hoffentlich.

[NilsK 2.930]

Moin,

 

also, da wäre mein Optimismus begrenzt. Wer das braucht, sollte sich lieber die PowerShell ansehen.

 

Gruß, Nils

 

[daabm 1.348]

vor 3 Stunden schrieb NilsK:

wenn man wüsste, welche DLL dafür zuständig ist und wie die angesprochen wird, könnte man die evtl. einbinden. Wäre aber ohne offiziellen Support ein kruder Hack, den man bei einem Sicherheitsthema eher nicht haben möchte.

 

Ne, wäre es nicht. Den gleichen Quatsch hatten sie schon mal mit tsadmin.dll, die plötzlich gefehlt hat. Wäre eher "if you can't, we can"

[Gipsy 13]

Hallo @Dayworker,

welches Betriebssystem hat der "Admin Terminal Server"?

 

Ich habe gerade bei mir nachgeschaut und wir haben auch so einen Terminal Server.

Dieser ist Windows Server 2022 und dort habe ich den Reiter LAPS und kann diesen auch nutzen.

 

Zudem kann ich auch dieses Powershell Skript empfehlen - besonders kann man aktuell die Password History nicht direkt in der MS GUI anzeigen lassen.

Mit dem Powershell Skript geht das.

 

https://github.com/htcfreek/SimpleLapsGui/releases

 

Grüße

Gipsy