Definir configurações de política para a LAPS do Windows

A Solução de Senha do Administrador Local do Windows (Windows LAPS) permite que você defina as configurações de política para gerenciar senhas de administrador local de forma segura e automática. Este artigo explica cada configuração de política e como administrá-las para melhorar a segurança e a conformidade.

Raízes de política com suporte

Embora não recomendado, você pode administrar um dispositivo usando vários mecanismos de gerenciamento de políticas. Para dar suporte a esse cenário de maneira compreensível e previsível, cada mecanismo de política da LAPS do Windows recebe uma chave raiz do registro distinta:

A LAPS do Windows consulta todas as raízes de política de chave de registro conhecidas, começando de cima para baixo. Se nenhuma configuração for encontrada em uma raiz, essa raiz será ignorada e a consulta continuará para a próxima raiz. Quando uma raiz que tem pelo menos uma configuração definida explicitamente é encontrada, essa raiz é usada como a política ativa. Se a raiz escolhida não possuir configurações, as configurações receberão os valores padrão.

As configurações de política nunca são compartilhadas ou herdadas entre as principais raízes da política.

Configurações de política com suporte do BackupDirectory

A LAPS do Windows dá suporte a várias configurações de política que você pode administrar por meio de várias soluções de gerenciamento de políticas ou até mesmo diretamente por meio do registro. Algumas dessas configurações se aplicam somente ao fazer backup de senhas no Active Directory e algumas configurações são comuns aos cenários do Active Directory e do Microsoft Entra.

A seguinte tabela especifica quais configurações se aplicam a dispositivos que têm a configuração BackupDirectory especificada:

Se BackupDirectory estiver definido como Desabilitado, todas as outras configurações serão ignoradas.

Você pode administrar quase todas as configurações usando qualquer mecanismo de gerenciamento de políticas. O CSP (Provedor de serviços de configuração) da LAPS do Windows tem duas exceções a essa regra. O CSP da LAPS do Windows dá suporte a duas configurações que não estão na tabela anterior: ResetPassword e ResetPasswordStatus. Além disso, o CSP da LAPS do Windows não dá suporte à configuração ADBackupDSRMPassword (os controladores de domínio nunca são gerenciados por meio do CSP). Para obter mais informações, confira a documentação da LAPS do CSP.

Política de Grupo da LAPS do Windows

A LAPS do Windows inclui um novo Objeto de Política de Grupo que você pode usar para administrar as configurações de política em dispositivos ingressados no domínio do Active Directory. Para acessar a Política de Grupo da LAPS do Windows, no Editor de Gerenciamento de Política de Grupo, acesse Configuração do Computador>Modelos Administrativos>Sistema>LAPS. A seguinte figura mostra um exemplo:

O modelo para este novo objeto Política de Grupo é instalado como parte do Windows em %windir%\PolicyDefinitions\LAPS.admx.

Repositório central do objeto Política de Grupo

CSP da LAPS do Windows

O Windows LAPS inclui um CSP específico que você pode usar para administrar as configurações de política em dispositivos ingressados no Microsoft Entra. Gerencie o CSP da LAPS do Windows usando o Microsoft Intune.

Aplicar configurações de política

As seções a seguir descrevem como usar e aplicar várias configurações de política na LAPS do Windows.

BackupDirectory

Usar essa configuração para controlar em qual diretório a senha da conta gerenciada terá backup.

Se não for especificada, essa configuração usará 0 como padrão (Desabilitado).

NomeDaContaDoAdministrador

Usar essa configuração para configurar o nome da conta de administrador local gerenciada.

Se não for especificada, essa configuração usará como padrão o gerenciamento da conta de administrador local interna.

PasswordAgeDays

Essa configuração controla a idade máxima da senha da conta de administrador local gerenciada. Os valores com suporte são:

• Mínimo: um dia (quando o diretório de backup está configurado para ser a ID do Microsoft Entra, o mínimo é sete dias).)
• Máximo: 365 dias

Se não for especificada, essa configuração usará 30 dias como padrão.

PasswordLength

Usar essa configuração para configurar o comprimento da senha da conta de administrador local gerenciada. Os valores com suporte são:

• Mínimo: 8 caracteres
• Máximo: 64 caracteres

Se não for especificada, essa configuração usará 14 caracteres como padrão.

A configuração PasswordLength é ignorada, a menos que PasswordComplexity esteja configurada como uma das opções de senha.

PassphraseLength

Use essa configuração para configurar o número de palavras na frase secreta da conta de administrador local gerenciada. Os valores com suporte são:

• Mínimo: 3 palavras
• Máximo: 10 palavras

Se não for especificada, essa configuração usará 6 palavras como padrão.

A configuração PassphraseLength é ignorada, a menos que PasswordComplexity esteja configurada como uma das opções de frase secreta.

Complexidade de Senha

Use essa configuração para configurar a complexidade necessária da senha da conta de administrador local gerenciada ou para especificar que uma frase secreta é criada.

Se não for especificada, essa configuração usará 4 como padrão.

PasswordExpirationProtectionEnabled

Usar essa configuração para definir a imposição da idade máxima da senha para a conta de administrador local gerenciada.

Os valores com suporte são 1 (verdadeiro) ou 0 (falso).

Se não for especificada, essa configuração usará 1 (verdadeiro) como padrão.

ADPasswordEncryptionEnabled

Usar essa configuração para habilitar a criptografia de senhas no Active Directory.

Os valores com suporte são 1 (verdadeiro) ou 0 (falso).

ADPasswordEncryptionPrincipal

Usar essa configuração para configurar o nome ou SID (identificador de segurança) de um usuário ou grupo que pode descriptografar a senha armazenada no Active Directory.

Essa configuração será ignorada se a senha estiver armazenada no Azure no momento.

Se essa configuração não for especificada, somente os membros do grupo Administradores de Domínio no domínio do dispositivo poderão descriptografar a senha.

Se essa configuração for especificada, o usuário ou grupo especificado poderá descriptografar a senha armazenada no Active Directory.

ADEncryptedPasswordHistorySize

Usar essa configuração para definir quantas senhas criptografadas anteriores são lembradas no Active Directory. Os valores com suporte são:

• Mínimo : 0 senha
• Máximo: 12 senhas

Se não for especificada, essa configuração usará 0 senhas como padrão (Desabilitado).

ADBackupDSRMPassword

Usar essa configuração para habilitar o backup da senha da conta do DSRM em controladores de domínio do Windows Server Active Directory.

Os valores com suporte são 1 (verdadeiro) ou 0 (falso).

Essa configuração usa 0 (falso) como padrão.

PostAuthenticationResetDelay

Use essa configuração para especificar a quantidade de tempo (em horas) para aguardar após uma autenticação antes de executar as ações de pós-autenticação especificadas (consulte PostAuthenticationActions). Os valores com suporte são:

• Mínimo : 0 hora (definir esse valor como 0 desabilita todas as ações pós-autenticação)
• Máximo: 24 horas

Se não for especificada, essa configuração usará 24 horas como padrão.

Ações Pós-Autenticação

Usar essa configuração para especificar as ações a serem executadas após a expiração do período de carência configurado (consulte PostAuthenticationResetDelay).

Essa configuração pode ter um dos seguintes valores:

Se não for especificada, essa configuração usará 3 como padrão.

GerenciamentoAutomáticoDeContaHabilitado

Use essa configuração para habilitar o gerenciamento automático de contas.

Os valores com suporte são 1 (verdadeiro) ou 0 (falso).

Essa configuração usa 0 (falso) como padrão.

Meta de Gerenciamento Automático de Contas

Use essa configuração para especificar se a conta de Administrador interna ou uma nova conta personalizada é gerenciada automaticamente.

Essa configuração usa 1 como padrão.

Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.

AutomaticAccountManagementNameOrPrefix

Use essa configuração para especificar o nome ou o prefixo do nome da conta gerenciada automaticamente.

Essa configuração usa WLapsAdmin como padrão.

Essa configuração é considerada um nome se AutomaticAccountManagementRandomizeName for 0 (Falso).

Essa configuração é tratada como um prefixo de nome se AutomaticAccountManagementRandomizeName for 1 (Verdadeiro).

Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.

GerenciamentoAutomáticoDeContaHabilitarConta

Use essa configuração para habilitar ou desabilitar a conta gerenciada automaticamente.

Essa configuração usa 0 como padrão.

Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.

AutomaticAccountManagementRandomizeName

Use essa configuração para habilitar a geração aleatória do nome da conta gerenciada automaticamente.

Quando essa configuração está habilitada, o nome da conta gerenciada (determinado pela configuração AutomaticAccountManagementNameOrPrefix) recebe um sufixo aleatório de seis dígitos toda vez que a senha é girada.

Os nomes de contas locais do Windows têm um comprimento máximo de 20 caracteres, o que significa que o componente de nome deve ter no máximo 14 caracteres para garantir espaço suficiente para o sufixo aleatório. Os nomes de conta especificados por AutomaticAccountManagementNameOrPrefix com mais de 14 caracteres são truncados.

Essa configuração usa 0 como padrão.

Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.

Valores de política padrão da LAPS do Windows

Todas as configurações de política da LAPS do Windows têm um valor padrão. O valor padrão é aplicado sempre que um administrador não define uma configuração específica. O valor padrão também é aplicado sempre que um administrador configura uma definição específica com um valor não suportado.

Tenha essas configurações padrão em mente ao configurar novos recursos do Windows LAPS, por exemplo, suporte a senha secreta. Se você configurar uma política com um valor PasswordComplexity de 6 (senhas de palavra longa) e aplicar essa política a um sistema operacional mais antigo que não dê suporte a esse valor, o sistema operacional de destino usará o valor padrão de 4. Para evitar esse resultado, crie duas políticas diferentes: uma para o sistema operacional mais antigo e outra para o mais recente.

Conteúdo relacionado

• Usar logs de eventos para a LAPS do Windows
• Usar cmdlet do PowerShell da LAPS do Windows
• Referência de extensões de esquema do Windows LAPS