Created attachment 18704 [details]
Вкладка LAPS в ADMC и ADUC

Конфигурация:
- Домен Windows AD (Windows Server 2019)
- Клиент Alt Workstation K 11.0
- Управляющая машина с ADMC и GPUI: Alt Workstation обновленная до p11

Версии пакетов:
- admc-0.20.0-alt2
- gpupdate-0.13.2-alt1
- gpui-0.2.55-alt1


Шаги воспроизведения:
1. Настроить LAPS на сервере AD (+ выполнить выполнить Update-LapsADSchema и Set-LapsADComputerSelfPermission -Identity "OU=test_laps,DC=win,DC=alt"
2. Создать политику и связать ее с подразделением test_laps. В политике: включить механизм GPUpdate «Настройка LAPS», в политике «Каталог резервного копирования паролей" выбрать параметр «Active Directory», включить шифрование паролей.
Политика настраивалась в GPUI:
МАШИННЫЕ НАСТРОЙКИ
--------------------------------------
         GPO          LAPS                                                                                 
         Путь         /var/cache/samba/gpo_cache/WIN.ALT/POLICIES/{F0DB3954-91B5-4440-BF01-9CD9B0462FB8}   
         Версия       262148                                                                               
         GUID         {F0DB3954-91B5-4440-BF01-9CD9B0462FB8}                                               
         Ключи        /Software/BaseALT/Policies/Control/su                         public                 
                      /Software/BaseALT/Policies/GPUpdate/LapsApplier               1                      
                      /Software/BaseALT/Policies/Laps/ADPasswordEncryptionEnabled   1                      
                      /Software/BaseALT/Policies/Laps/BackupDirectory               2    
                  
3. Ввести машину в домен и поместить в соответствующий OU.
4. Т.к. в ADMC вкладки «LAPS» в свойствах машины еще нет, сбросить пароль для машины в ADUC на машине Windows (нажав кнопку «Обновить сейчас»)
5. На клиенте выполнить gpoa --loglevel 0 (или gpupdate, но тогда без вывода). Убедиться, что пароль обновлен, в выводе присутствуют строки:

Запущен обработчик LAPS|{}
LDAP обновлён новыми данными пароля|{'computer_dn': Dn('CN=KDE01,OU=test_laps,DC=win,DC=alt')}

6. В ADMC в свойствах машины перейти на вкладку «LAPS».

Фактический результат:
Поле «Имя учетной записи локального администратора LAPS» пустое.

Ожидаемый результат:
В поле «Имя учетной записи локального администратора LAPS» присутствует запись: root.

При этом в ADUC на машине Windows данное поле заполнено (см.вложение).

+ Поле «Пароль учетной записи локального администратора LAPS» тоже почему-то заполнено не всегда. Не знаю от чего зависит: откроешь вкладку — есть пароль, в след. раз открываешь — поле пустое. В ADUC при этом поле всегда заполнено.