本地管理员密码解决方案（Windows LAPS）无法将密码备份到 Active Directory 架构

Question

各位 Active Directory 管理员，大家好！

我们最近已从旧版 LAPS 迁移到 Windows 内置的新版 Windows LAPS。我们已经扩展了本地 Active Directory 架构，并为计算机帐户授予了相应的权限。

然而，客户端事件日志中在 LAPS 日志下持续出现 事件 ID 10015：

“Windows LAPS 无法使用新密码更新 Active Directory。错误：属性或值不存在（Attribute or value does not exist）。”

请问应该如何验证 Active Directory 架构是否已正确扩展并处于正常状态？是否有推荐的 PowerShell 命令、ADSI Edit 检查方法或其他诊断步骤来确认 Windows LAPS 所需的属性是否已成功创建并可供客户端访问？

感谢大家的帮助！

Answer 1

您好，

您遇到的错误通常意味着 Windows LAPS 的 Active Directory 架构扩展尚未完全生效，或者客户端计算机帐户无法访问所需的属性。 即使已经授予了相应权限，Active Directory 架构中仍必须包含用于存储密码的新版 msLAPS 属性。

您可以通过以下方式验证架构状态：

1. 使用 PowerShell 检查属性是否存在：

Get-ADObject -SearchBase (Get-ADRootDSE).SchemaNamingContext -LDAPFilter "(name=msLAPS-Password)"

如果命令能够返回结果，则表示该属性已存在于架构中。

2. 检查计算机对象是否能够看到相关属性：

Get-ADComputer <ComputerName> -Properties *

确认输出中是否包含 msLAPS-Password 和 msLAPS-ExpirationTime 属性。

3. 使用 ADSI Edit：

• 连接到 Schema（架构）分区。
• 手动检查是否存在 Windows LAPS 新增的相关属性（例如 msLAPS-Password、msLAPS-ExpirationTime 等）。

如果这些属性不存在，则需要使用最新版 Windows LAPS 安装包重新执行架构更新，或者确认所有域控制器之间的架构复制已经完成。

如果属性已经存在，但客户端仍然报错，请进一步确认计算机帐户是否拥有对这些属性的写入权限。 缺少写入权限同样会导致客户端无法将新密码写入 Active Directory。

希望这些信息能帮助您解决问题。 如果此回答对您有所帮助，请点击“接受答案（Accept Answer）”，这样我就知道它解决了您的问题。

杰森