Neue Windows Passwort-Lösung führt zu Problemen nach Patch-Day

Windows LAPS unterstützt Administratoren bei der Verwaltung von Passwörtern für lokale Administratorkonten auf Geräten, die mit Azure Active Directory oder Windows Server Active Directory verbunden sind, indem sie Passwörter automatisch rotieren und auf AD-Domänencontrollern sichern. Microsoft sagt, dass LAPS jetzt nativ in Windows als Posteingangsfunktion integriert ist und durch die standardmäßigen Windows-Patching-Prozesse gewartet wird: "Ab dem Sicherheitsupdate vom 11. April 2023 ist LAPS nativ in Windows integriert und bietet neue Funktionen für lokale AD-Szenarien und die kommenden Vorteile von Azure Active Directory (derzeit in der privaten Vorschau). Zu den neuen Funktionen gehören eine umfassende Richtlinienverwaltung, automatische Rotation, ein dediziertes Ereignisprotokoll, ein neues PowerShell-Modul, Unterstützung für hybride Verbindungen und vieles mehr."


Ganz neu ist diese Funktion nicht, sie wurde nun aber mit dem April Patch 2023 erstmals an alle Windows 10 und Windows 11-Nutzer verteilt.

Interoperabilitätsfehler entdeckt

Jetzt, wenige Tage nach der Ankündigung, bestätigte das Unternehmen jedoch Berichte, dass die Anwendung der Updates vom April 2023 sowohl Legacy-LAPS als auch das neu eingeführte Windows-LAPS stören wird. "Es gibt einen Legacy-LAPS-Interop-Bug im [...] Update vom 11. April 2023. Wenn Sie das Legacy-LAPS-GPO CSE auf einem Computer installieren, der mit dem Sicherheitsupdate vom 11. April 2023 gepatcht wurde, und eine Legacy-LAPS-Richtlinie anwenden, werden sowohl Windows LAPS als auch Legacy-LAPS beschädigt", erklärt Microsoft.

"Zu den Symptomen gehören die Windows LAPS-Ereignisprotokoll-IDs 10031 und 10032 sowie die Legacy-LAPS-Ereignis-ID 6. Microsoft arbeitet an einem Fix für dieses Problem." Bis Microsoft ein neues Update zur Verfügung stellen kann, wird eine Übergangslösung empfohlen, mit dem betroffene Administratoren die LAPS-Funktion wiederherstellen können.

Dazu muss entweder das alte LAPS deinstalliert oder alle Registrierungswerte unter dem Registrierungsschlüssel HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\State gelöscht werden.