Microsoft : des problèmes de compatibilité entre LAPS et Windows LAPS
Au sein des mises à jour Windows déployées à l'occasion du Patch Tuesday d'avril 2023, Microsoft a introduit Windows LAPS, le successeur de l'application LAPS. Sauf que certains utilisateurs ont connu des mésaventures à ce sujet...!
Pour rappel, LAPS pour Local Administrator Password Solution est une solution permettant de sécuriser les comptes "Administrateur" locaux de vos postes de travail et serveurs en générant un mot de passe unique sur chaque machine. Jusqu'ici, LAPS devait être déployé sur les machines alors que son successeur, Windows LAPS, est intégré à Windows grâce à la mise à jour d'avril 2023 qui le déploie sur les machines.
Ainsi, Windows LAPS devient natif sur Windows Server 2019, Windows Server 2022, Windows 10 et Windows 11.
Pour en savoir plus sur les nouveautés de Windows LAPS : Windows LAPS
Un problème entre Windows LAPS et la GPO du LAPS Legacy
Suite à la sortie de cette nouvelle version, de premiers retours ont émergé sur le web, notamment sur Reddit avec ce premier commentaire alarmant.
En effet, tout ne se passe pas comme prévu pour les utilisateurs qui utilisaient déjà LAPS. D'ailleurs, Microsoft a rapidement mis à jour sa documentation afin d'inclure un avertissement : "La mise à jour du 11 avril 2023 susmentionnée comporte un bug d'interopérabilité avec le système LAPS Legacy. Si vous installez la GPO CSE LAPS sur une machine patchée avec la mise à jour de sécurité du 11 avril 2023 et une stratégie LAPS appliquée, Windows LAPS et LAPS seront tous deux hors services." - La firme de Redmond précise également que des logs seront générés dans le journal des événements de Windows LAPS avec les ID 10031 et 10032.
Il y a eu quelques échanges sur notre serveur Discord à ce sujet (merci !). D'après les tests effectués, l'installation de LAPS Legacy et de l'application de la GPO associée sur une machine qui est à jour (et donc qui contient Windows LAPS) n'a pas posé de problème spécifique. Ce qui est un peu contradictoire avec l'affirmation de Microsoft. On ne sait pas tout sur ce bug, peut-être que les deux LAPS sont cassés dans certaines conditions....
En attendant qu'une solution définitive soit trouvée, Microsoft a mis en ligne une solution temporaire pour rendre LAPS de nouveau opérationnel. Cette solution consiste à supprimer toutes les valeurs de Registre sous "HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\State". Microsoft indique aussi qu'il est possible de supprimer le LAPS Legacy de la machine, ce qui implique de passer sur la nouvelle version en urgence...!
Espérons que Microsoft s'exprime pour apporter des précisions dans les prochaines heures ou prochains jours.
