Les journaux et événements de Microsoft LAPS

La configuration par défaut de LAPS fait de lui une application pas très bavarde. Bien qu'il soit possible de croiser quelques entrées associées à LAPS dans l'Observateur d'événements de Windows, cela reste limité aux erreurs. Si tout se passe bien, LAPS tourne en toute discrétion. Dans ce chapitre, nous allons voir comment modifier le niveau de logs de LAPS.

I. LAPS et la clé de Registre "ExtensionDebugLevel"

A partir de la machine Windows 11, il est nécessaire d'ouvrir l'Editeur du Registre, à savoir "regedit" pour les intimes.

Ensuite, il faut accéder à cette clé de Registre :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{D76B9641-3288-4f75-942D-087DE603E3EA}}\

Le nom de cette clé de Registre sera le même sur toutes les machines où LAPS est installé. Nous devons créer une nouvelle valeur "DWORD 32 bits" nommée "ExtensionDebugLevel" en effectuant un clic droit une fois positionné au sein de la bonne clé de Registre.

Cette valeur peut prendre 3 valeurs différentes :

• 0 : c'est le mode par défaut où LAPS génère des événements seulement en cas d'erreur
• 1 : LAPS génère des événements lorsqu'il y a une erreur ou un avertissement
• 2 : c'est le mode verbeux puisque LAPS va inclure les erreurs, les avertissements et les infos

Pour voir ce que ça peut donner, activons le mode verbeux en précisant la valeur "2". Vous devez obtenir ceci :

Une fois que c'est fait, on redémarre le poste client pour que ce soit pris en compte.

II. Visualiser les logs de LAPS

Toujours sur le poste Windows 11, il faut que l'on ouvre l'Observateur d'événements. Un clic droit sur le menu Démarrer sera bien utile.

Sous "Journaux Windows", effectuez un clic droit sur le journal "Application" puisqu'il contient les logs de LAPS, afin d'appliquer un filtre via "Filtrer le journal actuel".

Plutôt que de rechercher les events LAPS dans la liste, on va se simplifier la vie avec ce filtre. Au niveau de la "Sources d'événements", recherchez et sélectionnez "AdmPwd". Validez.

Dans la liste, on peut voir trois événements : cela confirme que la clé de Registre fonctionne bien. Le message sur la copie d'écran ci-dessous indique qu'il n'est pas encore nécessaire de changer le mot de passe administrateur car il reste 12 jours avant l'expiration du mot de passe.

Cette modification dans le Registre est utile en phase de déploiement ou de debug pour comprendre le comportement d'une machine. Si vous souhaitez généraliser ce niveau de log, vous pouvez le faire par GPO sans difficulté.

LAPS est capable de générer des logs d'erreurs pour différents événements, notamment :

• Le client LAPS n'est pas en mesure de réinitialiser le mot de passe Administrateur
• Le client LAPS ne parvient pas à écrire le nouveau mot de passe dans l'Active Directory
• Etc.

Il est temps de passer au dernier chapitre de ce cours LAPS où nous allons apprendre à auditer l'accès aux mots de passe LAPS via l'Active Directory.