LAPS, Legacy-LAPS und Windows 11

Hallo zusammen,

Windows 11 und LAPS (Windows Local Administrator Password Solution) sorgte auf meinem neuen ARM-Surface für etwas Verwirrung. Daher als kurzer Tipp folgende Infos.

Microsoft unterscheidet zwischen "LAPS" und "Legacy LAPS". Ab 2023 soll LAPS(neu) bestandteil von Windows 11 sein. Momentan ist es bereits ab Windows 11 Insider Preview Build 25145 and later verfügbar. Das neue LAPS muss nicht separat auf dem Windows 11 PC installiert werden (wenn es im Build enthalten ist). Informationen zu LAPS (neu) gibt es hier: https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-over ...

Bis zur Verfügbarkeit von LAPS (neu) dahin muss man wie bisher das (Legacy)-LAPS auf dem PC installieren. das aktuelle Erstellungsdatum der LAPS-Dateien unter https://www.microsoft.com/en-us/download/details.aspx?id=46899 ist der 5.5.2021. Enthalten ist neben der x86 und x64 Version auch eine ARM-Version (die natürlich auf dem ARM-Surface verwendet werden muss. Die x64 Version läuft da nicht). Informationen zu Legacy-LAPS gibt es hier: https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-scen ...

Wenn man bisher in einem bestehenden Active Directory mit LAPS arbeitet, muss man am Active Directory nichts ändern umd Legacy-LAPS auf Windows 11 Clients zu nutzen. Die Installation von LAPS im AD hat sich für die Legacy-Version nicht geändert.

Will man (später) das neue LAPS nutzen, hält man sich an folgende Informationen: https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-scen ...

Ein Mischbetrieb dürfte im AD möglich sein. Das habe ich so explizit nicht gefunden. Ein Mischbetrieb auf dem Windows 11 Client ist nicht möglich. Sobald Legacy-LAPS-Einstellungen konfiguriert sind, wird Legacy-LAPS verwendet. Siehe https://learn.microsoft.com/en-us/windows-server/identity/laps/laps-mana ... Um LAPS (neu) zu nutzen, muss kein Legacy-LAPS konfiguriert sein und Legacy-LAPS nicht auf dem Client installiert sein.

Noch eine Ergänzung zur ARM64 Version: Ich habe noch keine Möglichkeit gefunden, das per WMI-Filter zu erkennen. Deshalb muss man eventuelle Softwareverteilungs-GPOs über Delegierungen/Berechtigunen filtern.

liefert leider true.

liefert true und funktioniert als WMI-Filter.

Grüße

lcer

Edit: WMI-Filter

Select * From Win32_OperatingSystem WHERE OSARCHITEW6432 = "ARM64"