要求された LAPS アカウントが作成されない

要求されたLAPSサポートアカウントが作成されず、RJポータルのデバイスページが「Requested...」メッセージで止まっている場合、デバイス上の以前にオンデマンドで作成されたLAPSアカウントがすべて使用されておらず、ログオフされていることを確認する必要があります。

サポート管理者が要求されると、RJエージェントはテナント内で指定された構成に基づいてデバイス上にローカルADMアカウントを作成します。アカウントには有効期間があり、その有効期間が過ぎると削除されます。アカウントが存在し、削除できない限り、新しいサポートアカウントは作成できません。

問題は、昇格した権限がないと他のログオンセッションを確認できないため、cmdやPowerShellのような開いているウィンドウが見つからない場合、再起動すると常に問題が解決するということです。

この特定のケースは、RealmJoinサービスによって書き込まれたログで簡単に特定できます。これらのログは次の場所にあります。 C:\WINDOWS\Logs\realmjoin*.log

2024-02-20 12:56:55.1239|DEBUG|RealmJoin.Service.PrivilegedToolProc|   3|[BEGIN] Running command `ManageLocalAdmins` by PID 14904
2024-02-20 12:56:56.7954|INFO|RealmJoin.Service.Handlers.ManageLocalAdminsHandler|  11|Profile of user "ADM-2F842BB7" is loaded. Won't delete now.

この場合、以前に作成されたアカウント ADM-2F842BB7 はまだロードされたままであり、ログオンセッションが残っていることを意味します。つまり、このアカウントの下でまだプロセスが実行されています。

しばらくして、そのアカウントは使用されなくなり、RealmJoinはアカウントを正常に削除しました。

2024-02-21 07:53:50.7103|DEBUG|RealmJoin.Service.PrivilegedToolProc|  10|[BEGIN] Running command `ManageLocalAdmins` by PID 2256
2024-02-21 07:53:52.3307|INFO|RealmJoin.Core.LocalAdminManagement.LocalUserAccounts|  15|Deleting user account ADM-2F842BB7.
2024-02-21 07:53:57.0369|INFO|RealmJoin.Service.Handlers.ManageLocalAdminsHandler|  15|Deleted user "ADM-2F842BB7".
2024-02-21 07:53:57.0369|INFO|RealmJoin.Core.LocalAdminManagement.LocalUserAccounts|  15|Deleting profile of user account ADM-2F842BB7.
2024-02-21 07:53:57.8334|INFO|RealmJoin.Service.Handlers.ManageLocalAdminsHandler|  15|Deleted profile of user "ADM-2F842BB7".

再び、しばらくして新しいLAPSサポートアカウントが作成されました。

2024-02-21 15:48:27.8962|DEBUG|RealmJoin.Service.PrivilegedToolProc|  10|[BEGIN] Running command `ManageLocalAdmins` by PID 18984
2024-02-21 15:48:29.2206|INFO|RealmJoin.Core.LocalAdminManagement.LocalUserAccounts|  13|Creating local admin account for slot SupportAccount.
2024-02-21 15:48:29.2628|INFO|RealmJoin.Core.LocalAdminManagement.LocalUserAccounts|  13|Created local admin account for slot SupportAccount with name ADM-4C051871.