Kompatibilitätschaos deaktiviert nicht nur ein, sondern zwei Windows Password • Registry-Tools

Laut Microsoft verursacht die Integration der Local Administrator Password Solution (LAPS) in Windows und Windows Server, die Anfang dieser Woche mit Updates geliefert wurde, Interoperabilitätsprobleme mit sogenannten Legacy-LAPS.

Redmond beschreiben LAPS-Integration am 11. April KB5025224 Und KB5025239 Kumulative Updates und schrieb, dass „Windows LAPS eine enorme Verbesserung in fast allen Bereichen außerhalb von Legacy LAPS darstellt“.

Allerdings Benutzer gefunden Dass eine neue Windows-LAPS-Installation beide Legacy-LAPS beschädigen kann.

„Wenn Sie die alte LAPS GPO CSE auf einem Gerät installieren, das mit dem Sicherheitsupdate vom 11. April 2023 gepatcht ist und auf das die alte LAPS-Richtlinie angewendet wurde, stürzen sowohl Windows LAPS als auch ältere LAPS ab.“ schreiben. Zu den Symptomen gehören die Windows LAPS-Ereignisprotokoll-IDs 10031 und 10032 sowie die LAPS-Ereignis-ID 6.

Der Hersteller arbeitet an einem Fix, aber in der Zwischenzeit können Benutzer als Workaround entweder Legacy LAPS deinstallieren oder alle Registrierungswerte unter dem Registrierungsschlüssel HKLM\Software\Windows\CurrentVersion\LAPS\State löschen.

LAPS ist kein neues Microsoft-Produkt. Administratoren verwenden das Tool, um Kennwörter für lokale Administratorkonten zu verwalten, indem sie diese regelmäßig rotieren und im lokalen Active Directory sichern.

„LAPS hat sich als wesentlicher und leistungsstarker Baustein für die AD-Sicherheit von Unternehmen vor Ort erwiesen“, schrieb Jay Simmons, Software Engineer bei Microsoft. Wir werden dieses ältere LAPS-Produkt treffend als „Legacy LAPS“ bezeichnen.

Mit dem Sicherheitsupdate vom 11. April kündigte Microsoft die LAPS-Integration mit den Editionen Windows 10, 11 Pro, EDU und Enterprise, Windows Server 2019 und 2022 sowie Windows Server Core 2022 an.

Das Tool in Windows ist nativ als Posteingangsfunktion integriert und „fertig aus der Box“, sagte Redmond, sodass Benutzer kein externes MSI-Paket mehr installieren müssen. Zukünftige Fixes und Updates werden über den normalen Patch-Prozess zur Verfügung gestellt.

Die Integration bietet neue Funktionen sowohl für lokale AD-Umgebungen als auch für die kommenden Azure AD für Cloud-Szenarien, die sich derzeit in der privaten Vorschau befinden, aber später in diesem Quartal in die öffentliche Vorschau verschoben werden. Zu den neuen Funktionen gehören eine verbesserte Richtlinienverwaltung, eine automatische Passwortrotation, ein benutzerdefiniertes Ereignisprotokoll und ein neues PowerShell-Modul.

Laut Microsoft gehen die Vorteile von Windows LAPS über die regelmäßige Rotation und Verwaltung von Kennwörtern für lokale Administratorkonten hinaus. Das Tool schützt Unternehmen auch vor Bypass- und Seitenangriffen, verbessert die Sicherheit für Remote-Helpdesks und ermöglicht es Administratoren, sich anzumelden und Geräte wiederherzustellen, auf die sonst kein Zugriff möglich wäre.

Es bietet außerdem Zugriffssteuerungslisten, optionale Kennwortverschlüsselung für in Windows Server AD gespeicherte Sicherheitskennwörter und Unterstützung für das rollenbasierte Zugriffssteuerungsmodell von Azure zum Sichern von in Azure AD gespeicherten Kennwörtern. ®