O que é o Windows LAPS?

A Solução de Senha do Administrador Local do Windows (Windows LAPS) é um recurso do Windows que gerencia e faz backup automático da senha de uma conta de administrador local em seus dispositivos ingressados no Microsoft Entra ou no Windows Server Active Directory. Você também pode usar Windows LAPS para gerenciar e fazer backup da senha da conta do Modo de Restauração dos Serviços de Diretório (DSRM) nos seus controladores de domínio Windows Server Active Directory.

Contas de administrador local frequentemente compartilham a mesma senha em vários dispositivos, o que agentes mal-intencionados podem explorar para se mover lateralmente pelo seu ambiente. O Windows LAPS ajuda você a fechar essa lacuna ao girar regularmente a senha local do administrador de cada dispositivo, armazená-la de forma segura e permitir que administradores autorizados a recuperem para fazer login ou recuperar um dispositivo.

Este artigo apresenta as plataformas que o Windows LAPS suporta, seus principais cenários e benefícios, e como ele difere do produto antigo da Microsoft LAPS, para que você possa decidir como usar o Windows LAPS no seu ambiente.

Plataformas com suporte do Windows LAPS

O Windows LAPS está disponível nas seguintes plataformas de sistema operacional:

Cliente Windows

Windows 10 atingiu o fim do suporte a 14 de outubro de 2025. O Windows LAPS permanece disponível apenas em dispositivos com Windows 10 que continuam recebendo atualizações, como por meio do programa Extended Security Updates (ESU). Para serviços e datas de ciclo de vida do Windows 10 suportados, consulte o FAQ sobre o ciclo de vida do Windows. Para novas implantações, use o Windows 11 ou uma versão suportada do Windows Server.

As configurações de Gerenciamento Automático de Contas no provedor de serviço de configuração Windows LAPS (CSP) exigem Windows 11, versão 24H2 ou posterior, ou Windows Server 2025 ou posterior.

Servidor Windows

O Windows LAPS está disponível em todas as edições suportadas dessas plataformas, incluindo as edições de canal de manutenção a longo prazo (LTSC). A introdução do recurso Windows LAPS não modifica as políticas padrão do ciclo de vida dos produtos da Microsoft.

Windows LAPS e Microsoft Entra ID

O Windows LAPS com suporte para Microsoft Entra ID e Microsoft Intune está em disponibilidade geral a partir de 23 de outubro de 2023. Para obter mais informações, consulte a Solução de Senha do Administrador Local do Windows com o Microsoft Entra ID agora está disponível de forma geral! e a Solução de Senha do Administrador Local do Windows no Microsoft Entra ID.

Benefícios de usar a LAPS do Windows

Use a LAPS do Windows para girar e gerenciar regularmente as senhas da conta de administrador local e obter estes benefícios:

  • Proteção contra ataques pass-the-hash e lateral-traversal
  • Segurança aprimorada para cenários de suporte técnico remoto
  • Capacidade de entrar e recuperar dispositivos que, de outra forma, estão inacessíveis
  • Um modelo de segurança detalhado (listas de controle de acesso e criptografia opcional de senhas) para proteger senhas armazenadas em Windows Server Active Directory
  • Suporte ao modelo de controle de acesso baseado em funções do Microsoft Entra para proteger as senhas armazenadas no Microsoft Entra ID

Vídeos informativos do Windows LAPS

Os vídeos a seguir trazem mais informações sobre o recurso LAPS do Windows. Como esses vídeos não incluem conteúdo textual, use os artigos ao redor para obter a orientação autoritativa do Windows LAPS.

Apresentação de decolagem técnica do Windows (novembro de 2022):

Discussão do Windows Tackling Tech (agosto de 2023):

Principais cenários do Windows LAPS

Você pode usar a LAPS do Windows para vários cenários principais:

  • Fazer backup de senhas de contas de administrador local no Microsoft Entra ID (para dispositivos ingressados no Microsoft Entra)

  • Fazer backup de senhas de conta de administrador local para o Windows Server Active Directory (para clientes e servidores ingressados no Windows Server Active Directory)

  • Fazer backup de senhas de conta DSRM para o Windows Server Active Directory (para controladores de domínio do Windows Server Active Directory)

  • Faça o backup das senhas das contas de administrador local no Active Directory do Windows Server usando o modo de emulação do Microsoft LAPS legado, no qual o Windows LAPS nativo respeita suas configurações existentes de Política de Grupo do Microsoft LAPS legado durante a migração

Em cada cenário, você pode aplicar configurações de política diferentes.

Entender as restrições de estado de junção do dispositivo

Se um dispositivo está ingressado no Microsoft Entra ID ou o Windows Server Active Directory determina como você pode usar a LAPS do Windows.

  • Os dispositivos que ingressaram somente no Microsoft Entra ID podem fazer backup de senhas somente no Microsoft Entra ID.
  • Os dispositivos ingressados apenas no Windows Server Active Directory podem fazer backup de senhas apenas para o Windows Server Active Directory.
  • Os dispositivos que estão associados de forma híbrida (associados ao Microsoft Entra ID e ao Windows Server Active Directory) podem fazer backup das respectivas senhas no Microsoft Entra ID ou no Windows Server Active Directory.

Não é possível fazer backup de senhas no Microsoft Entra ID e no Windows Server Active Directory.

A LAPS do Windows não oferece suporte a clientes ingressados no local de trabalho do Microsoft Entra.

Definir a política da LAPS do Windows

Você tem várias opções para configurar e gerenciar a política para sua implantação da LAPS do Windows:

Gerenciar e monitorar a LAPS do Windows

Você tem várias opções para gerenciar e monitorar o Windows LAPS.

As opções para Windows incluem:

Quando você faz backup das senhas do Microsoft Entra ID, recebe soluções de monitoramento e relatórios baseadas no Microsoft Entra ID.

Descontinuação do produto legado Microsoft LAPS

Important

O produto herdado do Microsoft LAPS é preterido a partir do Windows 11 23H2 e posterior. Versões mais recentes do sistema operacional bloqueiam a instalação do pacote legado Microsoft LAPS Microsoft Installer (MSI). A Microsoft não considera mais alterações de código para o produto legado Microsoft LAPS.

Use o Windows LAPS para gerenciar as senhas das contas de administrador local. O Windows LAPS está disponível no Windows Server 2019 e posterior e em clientes windows 10 e Windows 11 com suporte.

A Microsoft continuará a dar suporte ao produto legado Microsoft LAPS nas versões mais antigas do Windows (anteriores ao Windows 11 23H2) que o suportavam anteriormente. Esse suporte termina no final normal do suporte para essas versões do sistema operacional.

LAPS do Windows vs. LAPS herdadas da Microsoft

A LAPS do Windows herda muitos conceitos de design da LAPS herdada da Microsoft. Se você conhece o Microsoft LAPS antigo, reconhece muitos recursos do Windows LAPS. Uma diferença importante é que a LAPS do Windows é uma implementação totalmente separada que é nativa do Windows. A LAPS do Windows também adiciona muitos recursos que não estão disponíveis da LAPS herdada da Microsoft. Você pode usar o Windows LAPS para fazer backup de senhas na ID do Microsoft Entra, criptografar senhas no Windows Server Active Directory e armazenar seu histórico de senhas.

A LAPS do Windows não exige que você instale a LAPS herdada da Microsoft. Você pode implantar e usar totalmente todos os recursos da LAPS do Windows sem instalar ou fazer referência à LAPS herdada da Microsoft. Para ajudar a migrar uma implantação legada do Microsoft LAPS existente, o Windows LAPS oferece o modo de emulação legado do Microsoft LAPS. Lembre-se de que o produto legado Microsoft LAPS está obsoleto nas versões mais recentes do Microsoft OS. Para obter mais informações, consulte a descontinuação do produto Microsoft LAPS legado.

Do Microsoft LAPS antigo ao Windows LAPS nativo

Como o produto legado Microsoft LAPS está obsoleto e versões mais recentes do Windows bloqueiam seu instalador, o Windows LAPS nativo é a forma suportada de gerenciar senhas de administrador local. O Windows LAPS nativo não requer download ou instalação separada. Ele está integrado nas versões suportadas do Windows e Windows Server, então você não precisa instalar o Microsoft LAPS antigo para adotá-lo.

Para planejar e concluir a mudança em dispositivos que atualmente rodam Microsoft LAPS legados, veja Migrar para Windows LAPS a partir de LAPS legado. Esse artigo é a fonte de referência para os pré-requisitos de migração, as opções de migração disponíveis, como validar que o Windows LAPS nativo gerencia suas contas com sucesso e como remover o software legado do Microsoft LAPS após a transição.

Modo de emulação do Microsoft LAPS herdado

Se você não puder migrar diretamente para o Windows LAPS nativo, pode rodar o Windows LAPS no modo de emulação legado do Microsoft LAPS como uma opção de transição. Neste modo, o Windows LAPS honra suas configurações legadas de Group Policy do Microsoft LAPS enquanto você completa a migração.

O modo de emulação possui dois pré-requisitos críticos:

  • Não instale a extensão legada da Microsoft LAPS Group Policy do lado do cliente (CSE) no dispositivo gerenciado. Se o CSE herdado estiver presente, o Windows LAPS estará subordinado a ele e desativará o modo de emulação para evitar conflitos.
  • As configurações nativas de políticas do Windows LAPS têm prioridade. Se você configurar um dispositivo com as configurações nativas de políticas do Windows LAPS e as configurações legadas da política Microsoft LAPS, o Windows LAPS aplica as configurações nativas e ignora as configurações legadas emuladas.

O modo emulação tem limitações de segurança. Assim como o Microsoft LAPS legado, ele armazena senhas no Windows Server Active Directory apenas em texto sem criptografia, portanto não pode usar os recursos de criptografia de senha nem de histórico de senhas do Windows LAPS nativo. Trate o modo de emulação como uma etapa temporária e planeje migrar para o Windows LAPS nativo para aproveitar seus recursos de segurança. Para mais informações, veja Comece com Windows LAPS no modo de emulação Microsoft LAPS legado.

Declaração de suporte ao Windows LAPS e ao Microsoft LAPS legado

A Microsoft lançou o produto legado Microsoft LAPS em 2016 no Centro de Download da Microsoft. O Windows LAPS foi lançado como parte do Windows Updates, lançado em 11 de abril de 2023, para as plataformas listadas nas plataformas suportadas pelo Windows LAPS.

A Microsoft e sua organização de entrega de suporte oferecem suporte assistido tanto para Microsoft LAPS legados quanto para Windows LAPS, incluindo interoperabilidade entre os dois produtos. A Microsoft descontinuou o produto legado Microsoft LAPS nas versões mais recentes do Microsoft OS. Para obter mais informações, consulte a descontinuação do produto Microsoft LAPS legado.

Recomendamos fortemente que você comece a planejar agora a migração dos seus sistemas compatíveis com Windows LAPS do Microsoft LAPS antigo para o recurso Windows LAPS. A LAPS do Windows oferece muitos recursos novos de segurança e melhor manutenção de produtos.

Perguntas diretas sobre limitações e preocupações de interoperabilidade entre ferramentas locais de gerenciamento de senhas de contas de terceiros e o Windows LAPS ao desenvolvedor do aplicativo terceirizado, não à Microsoft.

Requisitos de licenciamento Windows LAPS

O recurso Windows LAPS está disponível gratuitamente em todas as plataformas Windows suportadas.

Você pode fazer backup de senhas no Active Directory do Windows Server sem outros requisitos de licenciamento.

Você pode fazer backup de senhas no Microsoft Entra ID com uma licença gratuita do Microsoft Entra ID ou superior.

Outros recursos do Microsoft Entra ID ou Microsoft Intune podem ter outros requisitos de licenciamento.

Envie comentários sobre o Windows LAPS

Deseja enviar comentários? Para enviar perguntas específicas do documento, use os links de feedback no final desta página.

Você também pode enviar comentários e outras solicitações na página do Tech Community de feedback do Windows LAPS.

Se seu feedback for específico sobre a funcionalidade LAPS relacionada ao Microsoft Entra ID ou ao Intune, envie feedback pelo fórum de feedback do Microsoft Entra.

Se você não tiver certeza para onde seus comentários devem ir, envie-o usando qualquer uma dessas opções.

Conteúdo relacionado

  • Last updated on