Windows LAPS politikası Group Policy üzerinden dağıtılmış, istemci etki alanına katılmış, fakat Active Directory üzerinde beklediğiniz parola bilgisi görünmüyor. Böyle bir durumda ilk refleks genellikle GPO'yu yeniden uygulamak oluyor. Oysa LAPS sürecinde birbirinden ayrı üç aşama var: cihazın politikayı okuması, yerel yönetici parolasını yönetmesi ve bu parolayı yetkili olduğu dizine yazması. Sorunu doğru aşamada aramak zamandan kazandırır.
Bu yazı Windows'un yerleşik Windows LAPS uygulamasını ele alıyor; eski AdmPwd.PS tabanlı Microsoft LAPS ile karıştırılmamalı. İki ürünün PowerShell komutları ve Active Directory şema öznitelikleri farklıdır.
Önce parolanın nereye yedeklendiğini öğrenin
Windows LAPS hem şirket içi Active Directory hem de Microsoft Entra ID için kullanılabilir. Ancak aynı cihazın parolasını eşzamanlı olarak iki dizine yedeklemek desteklenen bir çalışma şekli değildir. GPO veya MDM'de BackupDirectory hedefini kontrol edin. AD'ye yedekleme için kullanılan değer 2'dir.
İstemciye hiç politika ulaşmıyorsa Active Directory şemasında değişiklik yapmak çözüm sağlamaz. Önce ilgili bilgisayar hesabının doğru OU altında olduğuna, GPO kapsam ve security filtering ayarlarına ve cihazın bir yazılabilir domain controller ile bağlantısına bakın. GPO sonucunu gpresult /r /scope computer ile kontrol etmek başlangıç için faydalıdır.
Windows LAPS'in yönetmesi istenen yerel hesabın da gerçekten mevcut olması gerekir. Özel bir hesap adı girilmişse Windows LAPS tek başına bu hesabı oluşturmaz; hesabın oluşturulması ayrıca yönetilmelidir. Yerleşik Administrator hesabı söz konusuysa sistem hesabı SID/RID üzerinden bulabilir.
Şema ve domain functional level kontrolü
AD hedefli Windows LAPS için yeni şema özniteliklerinin forest'a eklenmesi gerekir. Yetkili bir yönetici, uygun değişiklik planıyla aşağıdaki komutu bir defa çalıştırabilir:
Update-LapsADSchema -VerboseBu komut bir okuma testi değildir; forest şemasını değiştirir. Kurumun değişiklik yönetimi, şema yöneticisi yetkileri ve replikasyon sağlığı kontrol edilmeden üretimde çalıştırılmamalıdır.
Şema mevcut olsa bile şifreleme ayarı ayrı bir ön koşula sahiptir. Active Directory'de parola şifrelemeyi etkinleştirmek için Domain Functional Level en az Windows Server 2016 olmalıdır. Daha eski DFL seviyelerinde Windows LAPS'in AD şifreleme modu kullanılamaz. Olay günlüğündeki 10006 türü hata, politika ile domain yetenekleri arasındaki bu uyuşmazlığa işaret edebilir.
Şema sorunu için 10012 kayıtları önemlidir. Bunun yanında bazı senaryolarda replikasyon gecikmesi, yeni özniteliklerin istemcinin görüştüğü domain controller'a henüz ulaşmamasına neden olabilir. Bu ayrımı yapmadan şema komutunu art arda çalıştırmak sorunu çözmez.
Bilgisayar hesabının OU yazma izni
Windows LAPS, yönetilen cihazın kendi bilgisayar nesnesindeki LAPS özniteliklerini güncelleyebilmesini bekler. İlgili OU için bu yetki eksikse politika doğru olsa bile parola dizine yazılamayabilir. Aşağıdaki komut gerçek ortamda kendi OU ayarınızla uygulanır:
Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=example,DC=local"Bu değişikliği doğru OU'ya uyguladığınızdan emin olun. Bilgisayar hesapları başka bir OU'da bulunuyorsa yukarıdaki izin yanlış yerde kalır ve istemciye fayda sağlamaz. Alt OU'lar, kalıtım engelleri ve özel ACL değişiklikleri de kontrol edilmelidir.
Parolayı okumaya yetkili kişileri ayrı düşünün. Set-LapsADReadPasswordPermission ile belirli destek gruplarına okuma izni verilebilir; fakat geniş gruplara gereksiz izin tanımak parolaların güvenliğini zayıflatır. Parola şifreliyse okuma izni tek başına yeterli değildir, şifrenin çözülmesine izin verilen güvenlik sorumlusu da doğru tanımlanmalıdır.
OU üzerindeki beklenmedik yetkileri incelemek için aşağıdaki komut kullanılabilir:
Find-LapsADExtendedRights -Identity "OU=Workstations,DC=example,DC=local"Olay günlüğü hata ayıklamanın merkezinde
İstemcide Event Viewer > Applications and Services Logs > Microsoft > Windows > LAPS > Operational yolunu açın. Merkezi günlük toplama varsa aynı kayıtları oradan incelemek de mümkündür. Komut satırından hızlı kontrol için:
Get-WinEvent -LogName "Microsoft-Windows-LAPS/Operational" -MaxEvents 30Event ID 10018, Windows LAPS'in Active Directory'deki parola bilgisini başarıyla güncellediğini gösterir. Entra ID senaryosunda benzer başarı olayı 10029'dur. Yerel hesabın güncellenmesi için 10020 kaydı ayrıca önemlidir. 10012 şema eksikliğine, 10006 ise şifreleme ve domain functional level uyuşmazlığına dair ipucu verir.
Günlüğün içeriğini sadece olay numarasına bakarak yorumlamayın. Olayın zamanını, işlem yapılan cihazı ve hata ayrıntısını birlikte değerlendirin. Özellikle aynı bilgisayarın farklı domain controller'larla haberleştiği ortamlarda geçici erişim veya replikasyon sorunu kalıcı yapılandırma hatası gibi görünebilir.
Kontrolü nasıl sıraya koyarım?
- Bilgisayarın doğru OU'da bulunduğunu ve hedef BackupDirectory değerini kontrol ederim.
- Şema özniteliklerinin oluşturulduğunu, domain functional level seviyesini ve AD replikasyon durumunu doğrularım.
- Bilgisayar nesnesinin LAPS özniteliklerini yazabilmesi için gerekli OU izinlerini denetlerim.
- Event Log'da 10018, 10020, 10012 veya ilgili hata kodlarını zaman sırasıyla incelerim.
- İstemcide politikayı tekrar işlemeyi gerekiyorsa
Invoke-LapsPolicyProcessingile tetiklerim. - Yetkili hesapla
Get-LapsADPassword -Identity PC01kullanarak parolanın ve sona erme bilgisinin görünüp görünmediğini test ederim.
Bir parolanın yönetim konsolunda görünmemesi her zaman cihazın parola oluşturmadığı anlamına gelmez; görünürlük ve parola çözme yetkileri de etkili olabilir. Test sırasında gerçek parolaları konsol ekran görüntülerine, sohbet kayıtlarına veya loglara taşımamak gerekir. -AsPlainText yalnızca gerekli ve kontrollü durumlarda kullanılmalıdır.
En sık rastlanan hata, tek bir GPO yenilemesinden sonuç beklemek. Windows LAPS'in çalışması için politika, şema, OU yetkileri, domain yetenekleri ve istemci erişimi birlikte doğru olmalı. Bu parçaları sırayla test ettiğinizde problem genellikle tekrar tekrar parola sıfırlamak zorunda kalmadan bulunur.
Kaynak
- Microsoft Learn: Windows LAPS + Active Directory — https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-scenarios-windows-server-active-directory
- Microsoft Learn: Windows LAPS Event Logs — https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-management-event-log
- Microsoft Learn: LAPS troubleshooting — https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-security/windows-laps-troubleshooting-guidance
- Microsoft Learn: LAPS PowerShell — https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-management-powershell
