Created attachment 18704 [details] Вкладка LAPS в ADMC и ADUC Конфигурация: - Домен Windows AD (Windows Server 2019) - Клиент Alt Workstation K 11.0 - Управляющая машина с ADMC и GPUI: Alt Workstation обновленная до p11 Версии пакетов: - admc-0.20.0-alt2 - gpupdate-0.13.2-alt1 - gpui-0.2.55-alt1 Шаги воспроизведения: 1. Настроить LAPS на сервере AD (+ выполнить выполнить Update-LapsADSchema и Set-LapsADComputerSelfPermission -Identity "OU=test_laps,DC=win,DC=alt" 2. Создать политику и связать ее с подразделением test_laps. В политике: включить механизм GPUpdate «Настройка LAPS», в политике «Каталог резервного копирования паролей" выбрать параметр «Active Directory», включить шифрование паролей. Политика настраивалась в GPUI: МАШИННЫЕ НАСТРОЙКИ -------------------------------------- GPO LAPS Путь /var/cache/samba/gpo_cache/WIN.ALT/POLICIES/{F0DB3954-91B5-4440-BF01-9CD9B0462FB8} Версия 262148 GUID {F0DB3954-91B5-4440-BF01-9CD9B0462FB8} Ключи /Software/BaseALT/Policies/Control/su public /Software/BaseALT/Policies/GPUpdate/LapsApplier 1 /Software/BaseALT/Policies/Laps/ADPasswordEncryptionEnabled 1 /Software/BaseALT/Policies/Laps/BackupDirectory 2 3. Ввести машину в домен и поместить в соответствующий OU. 4. Т.к. в ADMC вкладки «LAPS» в свойствах машины еще нет, сбросить пароль для машины в ADUC на машине Windows (нажав кнопку «Обновить сейчас») 5. На клиенте выполнить gpoa --loglevel 0 (или gpupdate, но тогда без вывода). Убедиться, что пароль обновлен, в выводе присутствуют строки: Запущен обработчик LAPS|{} LDAP обновлён новыми данными пароля|{'computer_dn': Dn('CN=KDE01,OU=test_laps,DC=win,DC=alt')} 6. В ADMC в свойствах машины перейти на вкладку «LAPS». Фактический результат: Поле «Имя учетной записи локального администратора LAPS» пустое. Ожидаемый результат: В поле «Имя учетной записи локального администратора LAPS» присутствует запись: root. При этом в ADUC на машине Windows данное поле заполнено (см.вложение). + Поле «Пароль учетной записи локального администратора LAPS» тоже почему-то заполнено не всегда. Не знаю от чего зависит: откроешь вкладку — есть пароль, в след. раз открываешь — поле пустое. В ADUC при этом поле всегда заполнено.
