Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
A Solução de Senha do Administrador Local do Windows (Windows LAPS) permite que você defina as configurações de política para gerenciar senhas de administrador local de forma segura e automática. Este artigo explica cada configuração de política e como administrá-las para melhorar a segurança e a conformidade.
Raízes de política com suporte
Embora não recomendado, você pode administrar um dispositivo usando vários mecanismos de gerenciamento de políticas. Para dar suporte a esse cenário de maneira compreensível e previsível, cada mecanismo de política da LAPS do Windows recebe uma chave raiz do registro distinta:
| Policy name | Raiz de chave do registro de política |
|---|---|
| LAPS CSP | HKLM\Software\Microsoft\Policies\LAPS |
| Política de Grupo da LAPS | HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\LAPS |
| Configuração local da LAPS | HKLM\Software\Microsoft\Windows\CurrentVersion\LAPS\Config |
| Microsoft LAPS herdado | HKLM\Software\Policies\Microsoft Services\AdmPwd |
A LAPS do Windows consulta todas as raízes de política de chave de registro conhecidas, começando de cima para baixo. Se nenhuma configuração for encontrada em uma raiz, essa raiz será ignorada e a consulta continuará para a próxima raiz. Quando uma raiz que tem pelo menos uma configuração definida explicitamente é encontrada, essa raiz é usada como a política ativa. Se a raiz escolhida não possuir configurações, as configurações receberão os valores padrão.
As configurações de política nunca são compartilhadas ou herdadas entre as principais raízes da política.
Tip
A chave de Configuração local da LAPS está incluída na tabela anterior para obter integridade. Você pode usar essa chave, se necessário, mas a chave destina-se principalmente a ser usada para testes e desenvolvimento. Nenhuma ferramenta de gerenciamento ou mecanismos de política têm essa chave como destino.
Configurações de política com suporte do BackupDirectory
A LAPS do Windows dá suporte a várias configurações de política que você pode administrar por meio de várias soluções de gerenciamento de políticas ou até mesmo diretamente por meio do registro. Algumas dessas configurações só se aplicam ao fazer backup de senhas no Active Directory, e algumas configurações são comuns aos cenários do AD e do Microsoft Entra.
A seguinte tabela especifica quais configurações se aplicam a dispositivos que têm a configuração BackupDirectory especificada:
| Setting name | Aplicável quando BackupDirectory=Microsoft Entra ID? | Aplicável quando BackupDirectory=AD? |
|---|---|---|
| AdministratorAccountName | Yes | Yes |
| PasswordAgeDays | Yes | Yes |
| PasswordLength | Yes | Yes |
| PassphraseLength | Yes | Yes |
| PasswordComplexity | Yes | Yes |
| PostAuthenticationResetDelay | Yes | Yes |
| PostAuthenticationActions | Yes | Yes |
| ADPasswordEncryptionEnabled | No | Yes |
| ADPasswordEncryptionPrincipal | No | Yes |
| ADEncryptedPasswordHistorySize | No | Yes |
| ADBackupDSRMPassword | No | Yes |
| PasswordExpirationProtectionEnabled | No | Yes |
| AutomaticAccountManagementEnabled | Yes | Yes |
| AutomaticAccountManagementTarget | Yes | Yes |
| AutomaticAccountManagementNameOrPrefix | Yes | Yes |
| AutomaticAccountManagementEnableAccount | Yes | Yes |
| AutomaticAccountManagementRandomizeName | Yes | Yes |
Se BackupDirectory estiver definido como Desabilitado, todas as outras configurações serão ignoradas.
Você pode administrar quase todas as configurações usando qualquer mecanismo de gerenciamento de políticas. O CSP (Provedor de serviços de configuração) da LAPS do Windows tem duas exceções a essa regra. O CSP da LAPS do Windows dá suporte a duas configurações que não estão na tabela anterior: ResetPassword e ResetPasswordStatus. Além disso, o CSP da LAPS do Windows não dá suporte à configuração ADBackupDSRMPassword (os controladores de domínio nunca são gerenciados por meio do CSP). Para obter mais informações, confira a documentação da LAPS do CSP.
Política de Grupo da LAPS do Windows
A LAPS do Windows inclui um novo Objeto de Política de Grupo que você pode usar para administrar as configurações de política em dispositivos ingressados no domínio do Active Directory. To access the Windows LAPS Group Policy, in Group Policy Management Editor, go to Computer Configuration>Administrative Templates>System>LAPS. A seguinte figura mostra um exemplo:
The template for this new Group Policy object is installed as part of Windows at %windir%\PolicyDefinitions\LAPS.admx.
Repositório central do objeto Política de Grupo
Important
Os arquivos de modelo de GPO do Windows LAPS NÃO são copiados automaticamente para o repositório central de GPO como parte de uma operação de aplicação de patch de Windows Update, supondo que você tenha escolhido implementar essa abordagem. Instead you must manually copy the LAPS.admx to the GPO central store location. Confira Criar e gerenciar o Repositório Central.
CSP da LAPS do Windows
O Windows LAPS inclui um CSP específico que você pode usar para administrar as configurações de política em dispositivos ingressados no Microsoft Entra. Gerencie o CSP da LAPS do Windows usando o Microsoft Intune.
Aplicar configurações de política
As seções a seguir descrevem como usar e aplicar várias configurações de política na LAPS do Windows.
BackupDirectory
Usar essa configuração para controlar em qual diretório a senha da conta gerenciada terá backup.
| Value | Descrição de configuração |
|---|---|
| 0 | Desabilitado (a senha não terá backup) |
| 1 | Fazer backup da senha apenas para o Microsoft Entra |
| 2 | Fazer backup da senha somente no Windows Server Active Directory |
If not specified, this setting defaults to 0 (Disabled).
AdministratorAccountName
Usar essa configuração para configurar o nome da conta de administrador local gerenciada.
Se não for especificada, essa configuração usará como padrão o gerenciamento da conta de administrador local interna.
Important
Não especifique essa configuração, exceto se desejar gerenciar uma conta diferente da conta de administrador local interna. A conta de administrador local é identificada automaticamente pelo RID (ID relativo) conhecido.
Important
Você pode configurar a conta especificada (interna ou personalizada) como habilitada ou desabilitada. O Windows LAPS gerencia a senha dessa conta em qualquer estado. No entanto, se for deixada em um estado desabilitado, obviamente, primeiro a conta deverá ser habilitada para ser realmente usada.
Important
Caso configure a LAPS do Windows para gerenciar uma conta de administrador local personalizada, deverá garantir que a conta seja criada. A LAPS do Windows não cria a conta.
Important
Esta configuração será ignorada quando AutomaticAccountManagementEnabled for habilitado.
PasswordAgeDays
Essa configuração controla a idade máxima da senha da conta de administrador local gerenciada. Os valores com suporte são:
- Minimum: 1 day (When the backup directory is configured to be Microsoft Entra ID, the minimum is 7 days.)
- Maximum: 365 days
Se não for especificada, essa configuração usará 30 dias como padrão.
Important
As alterações na configuração da política PasswordAgeDays não têm efeito sobre o tempo de expiração da senha atual. Da mesma forma, as alterações na configuração da política PasswordAgeDays não farão com que o dispositivo gerenciado inicie uma rotação de senha.
PasswordLength
Usar essa configuração para configurar o comprimento da senha da conta de administrador local gerenciada. Os valores com suporte são:
- Minimum: 8 characters
- Maximum: 64 characters
Se não for especificada, essa configuração usará 14 caracteres como padrão.
Important
Não configure PasswordLength para um valor incompatível com a política de senha local do dispositivo gerenciado. Isso faz com que o Windows LAPS não crie uma nova senha compatível (procure um evento 10027 no log de eventos do Windows LAP).
A configuração PasswordLength é ignorada, a menos que PasswordComplexity esteja configurada como uma das opções de senha.
PassphraseLength
Use essa configuração para configurar o número de palavras na frase secreta da conta de administrador local gerenciada. Os valores com suporte são:
- Minimum: 3 words
- Maximum: 10 words
Se não for especificada, essa configuração usará 6 palavras como padrão.
A configuração PassphraseLength é ignorada, a menos que PasswordComplexity esteja configurada como uma das opções de frase secreta.
Important
PassphraseLength só tem suporte no Windows 11 24H2, windows server 2025 e versões posteriores.
PasswordComplexity
Use essa configuração para configurar a complexidade necessária da senha da conta de administrador local gerenciada ou para especificar que uma frase secreta é criada.
| Value | Descrição de configuração |
|---|---|
| 1 | Large letters |
| 2 | Letras maiúsculas + letras minúsculas |
| 3 | Letras maiúsculas + letras minúsculas + números |
| 4 | Letras maiúsculas + letras minúsculas + números + caracteres especiais |
| 5 | Letras maiúsculas + letras minúsculas + números + caracteres especiais (maior legibilidade) |
| 6 | Frase secreta (palavras longas) |
| 7 | Frase secreta (palavras curtas) |
| 8 | Frase secreta (palavras curtas com prefixos exclusivos) |
If not specified, this setting defaults to 4.
Important
O Windows dá suporte às configurações de complexidade inferiores de senha (1, 2 e 3) somente na compatibilidade com versões anteriores do Microsoft LAPS herdado. Recomendamos que você sempre defina essa configuração como 4 (ou um valor mais alto, se houver suporte).
Important
Não configure PasswordComplexity para uma configuração incompatível com a política de senha local do dispositivo gerenciado. Isso faz com que o Windows LAPS não crie uma nova senha compatível (procure um evento 10027 no log de eventos do Windows LAPS).
Important
PasswordComplexity os valores de 5 a 8 só têm suporte no Windows 11 24H2, no Windows Server 2025 e nas versões posteriores.
PasswordExpirationProtectionEnabled
Usar essa configuração para definir a imposição da idade máxima da senha para a conta de administrador local gerenciada.
Supported values are either 1 (True) or 0 (False).
If not specified, this setting defaults to 1 (True).
Tip
In legacy Microsoft LAPS mode, this setting defaults to False for backward compatibility.
ADPasswordEncryptionEnabled
Usar essa configuração para habilitar a criptografia de senhas no Active Directory.
Supported values are either 1 (True) or 0 (False).
Important
Habilitar essa configuração exige que seu domínio do Active Directory esteja em execução no Nível de Função de Domínio 2016 ou posterior.
ADPasswordEncryptionPrincipal
Usar essa configuração para configurar o nome ou SID (identificador de segurança) de um usuário ou grupo que pode descriptografar a senha armazenada no Active Directory.
Essa configuração será ignorada se a senha estiver armazenada atualmente no Azure.
Se não for especificada, somente os membros do grupo Administradores de Domínio no domínio do dispositivo poderão descriptografar a senha.
Se for especificado, o usuário ou o grupo especificado poderá descriptografar a senha armazenada no Active Directory.
Important
A sequência armazenada nessa configuração é um SID no formato de sequência ou o nome totalmente qualificado de um usuário ou grupo. Confira exemplos válidos:
S-1-5-21-2127521184-1604012920-1887927527-35197contoso\LAPSAdminslapsadmins@contoso.com
A entidade de segurança identificada (por SID ou pelo nome de usuário ou grupo) deve existir e ser resolvível pelo dispositivo.
Os dados especificados nessa configuração são inseridos como estão; por exemplo, não adicione aspas ou parênteses.
This setting is ignored unless ADPasswordEncryptionEnabled is configured to True and all other prerequisites are met.
Essa configuração é ignorada quando as senhas de conta do DSRM (Modo de Reparo de Serviços de Diretório) são armazenadas em backup em um controlador de domínio. Nesse cenário, essa configuração sempre usa como padrão o grupo de administradores do domínio do domínio do controlador de domínio.
ADEncryptedPasswordHistorySize
Usar essa configuração para definir quantas senhas criptografadas anteriores são lembradas no Active Directory. Os valores com suporte são:
- Minimum : 0 passwords
- Maximum: 12 passwords
Se não for especificada, essa configuração usará 0 senhas como padrão (Desabilitado).
Important
Essa configuração será ignorada, a menos que ADPasswordEncryptionEnabled esteja configurado como verdadeiro e todos os outros pré-requisitos sejam atendidos.
Essa configuração também entra em vigor em controladores de domínio que fazem backup das próprias senhas do DSRM.
ADBackupDSRMPassword
Usar essa configuração para habilitar o backup da senha da conta do DSRM em controladores de domínio do Windows Server Active Directory.
Supported values are either 1 (True) or 0 (False).
This setting defaults to 0 (False).
Important
Essa configuração será ignorada, a menos que ADPasswordEncryptionEnabled esteja configurado como verdadeiro e todos os outros pré-requisitos sejam atendidos.
PostAuthenticationResetDelay
Usar essa configuração para especificar por quanto tempo (em horas) deve-se aguardar após uma autenticação antes de executar as ações de pós-autenticação especificadas (consulte PostAuthenticationActions). Os valores com suporte são:
- Minimum : 0 hours (setting this value to 0 disables all post-authentication actions)
- Maximum: 24 hours
Se não for especificada, essa configuração usará 24 horas como padrão.
PostAuthenticationActions
Usar essa configuração para especificar as ações a serem executadas após a expiração do período de carência configurado (consulte PostAuthenticationResetDelay).
Essa configuração pode ter um dos seguintes valores:
| Value | Name | Ações executadas quando o período de carência expira | Comments |
|---|---|---|---|
| 1 | Reset password | A senha da conta gerenciada é redefinida. | |
| 3 | Redefinir senha e sair do serviço | A senha da conta gerenciada é redefinida, as sessões de entrada interativas que usam a conta gerenciada são encerradas e as sessões SMB que usam a conta gerenciada são excluídas. | As sessões de entrada interativas recebem um aviso de dois minutos não configurável para salvar o trabalho e sair. |
| 5 | Redefinir senha e reinicializar | A senha da conta gerenciada é redefinida e o dispositivo gerenciado é reiniciado. | O dispositivo gerenciado é reiniciado após um atraso de um minuto não configurável. |
| 11 | Redefinir senha e sair do serviço | A senha da conta gerenciada é redefinida, as sessões de entrada interativas que usam a conta gerenciada são encerradas, as sessões SMB que usam a conta gerenciada são excluídas e quaisquer processos em execução restantes sob a identidade da conta gerenciada são terminados. | As sessões de entrada interativas recebem um aviso de dois minutos não configurável para salvar o trabalho e sair. |
If not specified, this setting defaults to 3.
Important
As ações de pós-autenticação permitidas destinam-se a ajudar a limitar por quanto tempo uma senha da LAPS do Windows pode ser usada antes de ser redefinida. Sair da conta gerenciada ou reiniciar o dispositivo são opções que ajudam a garantir que o tempo seja limitado. Encerrar abruptamente sessões de entrada ou reiniciar o dispositivo pode resultar em perda de dados.
Do ponto de vista da segurança, um usuário mal-intencionado que adquire privilégios administrativos em um dispositivo usando uma senha válida da LAPS do Windows tem a capacidade suprema de impedir ou contornar esses mecanismos.
Important
PostAuthenticationActions O valor 11 só tem suporte no Windows 11 24H2, no Windows Server 2025 e nas versões posteriores.
AutomaticAccountManagementEnabled
Use essa configuração para habilitar o gerenciamento automático de contas.
Supported values are either 1 (True) or 0 (False).
This setting defaults to 0 (False).
Important
AutomaticAccountManagementEnabled só tem suporte no Windows 11 24H2, windows server 2025 e versões posteriores.
AutomaticAccountManagementTarget
Use essa configuração para especificar se a conta interna de Administrador é uma conta gerenciada automaticamente ou uma nova conta personalizada.
| Value | Descrição de configuração |
|---|---|
| 0 | Gerenciar automaticamente a conta de administrador interna |
| 1 | Gerenciar automaticamente uma nova conta personalizada |
This setting defaults to 1.
Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.
Important
AutomaticAccountManagementTarget só tem suporte no Windows 11 24H2, windows server 2025 e versões posteriores.
AutomaticAccountManagementNameOrPrefix
Use essa configuração para especificar o nome ou o prefixo do nome da conta gerenciada automaticamente.
Essa configuração usa WLapsAdmin como padrão.
This setting is treated as a name if AutomaticAccountManagementRandomizeName is 0 (False).
This setting is treated as a name prefix if AutomaticAccountManagementRandomizeName is 1 (True).
Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.
Important
AutomaticAccountManagementNameOrPrefix só tem suporte no Windows 11 24H2, windows server 2025 e versões posteriores.
AutomaticAccountManagementEnableAccount
Use essa configuração para habilitar ou desabilitar a conta gerenciada automaticamente.
| Value | Descrição de configuração |
|---|---|
| 0 | Desabilitar a conta gerenciada automaticamente |
| 1 | Habilitar a conta gerenciada automaticamente |
This setting defaults to 0.
Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.
Important
AutomaticAccountManagementEnableAccount só tem suporte no Windows 11 24H2, windows server 2025 e versões posteriores.
AutomaticAccountManagementRandomizeName
Use essa configuração para habilitar a geração aleatória do nome da conta gerenciada automaticamente.
Quando essa configuração está habilitada, o nome da conta gerenciada (determinado pela configuração AutomaticAccountManagementNameOrPrefix) recebe um sufixo aleatório de seis dígitos toda vez que a senha é girada.
Os nomes de contas locais do Windows têm um comprimento máximo de 20 caracteres, o que significa que o componente de nome deve ter no máximo 14 caracteres para garantir espaço suficiente para o sufixo aleatório. Os nomes de conta especificados por AutomaticAccountManagementNameOrPrefix com mais de 14 caracteres são truncados.
| Value | Descrição de configuração |
|---|---|
| 0 | Não gerar aleatoriamente o nome da conta gerenciada automaticamente |
| 1 | Gerar aleatoriamente o nome da conta gerenciada automaticamente |
This setting defaults to 0.
Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.
Important
AutomaticAccountManagementRandomizeName só tem suporte no Windows 11 24H2, windows server 2025 e versões posteriores.
Valores de política padrão da LAPS do Windows
Todas as configurações de política da LAPS do Windows têm um valor padrão. O valor padrão é aplicado sempre que um administrador não define uma configuração específica. O valor padrão também é aplicado sempre que um administrador configura uma definição específica com um valor não suportado.
| Setting name | Default value |
|---|---|
| BackupDirectory | Disabled |
| AdministratorAccountName | Null\empty |
| PasswordAgeDays | 30 |
| PasswordLength | 14 |
| PassphraseLength | 6 |
| PasswordComplexity | 4 |
| PostAuthenticationResetDelay | 24 |
| PostAuthenticationActions | 3 (Redefinir a senha e sair do sistema) |
| ADPasswordEncryptionEnabled | True |
| ADPasswordEncryptionPrincipal | Domain Admins |
| ADEncryptedPasswordHistorySize | 0 |
| ADBackupDSRMPassword | False |
| PasswordExpirationProtectionEnabled | True |
| AutomaticAccountManagementEnabled | False |
| AutomaticAccountManagementTarget | Yes |
| AutomaticAccountManagementNameOrPrefix | Yes |
| AutomaticAccountManagementEnableAccount | False |
| AutomaticAccountManagementRandomizeName | False |
Important
O ADPasswordEncryptionPrincipal é uma exceção à regra de configuração incorreta. O padrão dessa configuração é definido como “Administradores de domínio” somente quando a configuração não estiver definida. No caso em que um nome de usuário ou grupo inválido for especificado, isso causará uma falha de processamento de política e a senha da conta gerenciada não será armazenada em backup.
Lembre-se desses padrões ao configurar novos recursos da LAPS do Windows; por exemplo, suporte a senhas. Se você configurar uma política com um valor de PasswordComplexity como 6 (senhas de palavras longas) e, em seguida, aplicar essa política a um sistema operacional mais antigo que não seja compatível com esse valor, o sistema operacional de destino usará o valor padrão de 4. Para evitar esse resultado, crie duas políticas diferentes: uma para o sistema operacional mais antigo e outra para o mais recente.