Referência de extensões de esquema do Windows LAPS

Use informações detalhadas sobre extensões de esquema e direitos estendidos para ajudá-lo a implantar ou gerenciar a Solução de Senha do Administrador Local do Windows (Windows LAPS) em sua implantação do Active Directory do Windows Server.

Schema extensions

O Windows LAPS oferece elementos de esquema específicos para o Active Directory do Windows Server. Para usar qualquer um dos seguintes recursos baseados no Windows LAPS Windows Server Active Directory, você deve adicionar esses novos elementos de esquema à floresta executando o Update-LapsADSchema PowerShell cmdlet.

Schema attributes

O Windows LAPS usa atributos de esquema específicos armazenados no objeto de computador no Windows Server Active Directory para um dispositivo gerenciado. O Update-LapsADSchema cmdlet adiciona os atributos de esquema ao diretório e à mayContain lista na classe de esquema do computador.

msLAPS-PasswordExpirationTime

Esse atributo contém um inteiro de 64 bits que especifica a hora de expiração da senha agendada no momento em UTC.

Name: ms-LAPS-PasswordExpirationTime
LDAP display name: msLAPS-PasswordExpirationTime
OID: 1.2.840.113556.1.6.44.1.1
Syntax: 2.5.5.16
OmSyntax: 65
IsSingleValued: True
IsMemberOfPartialAttributeSet: False
SearchFlags: 0
AttributeSecurityGuid: <not set>

msLAPS-Password

Esse atributo contém uma cadeia de caracteres Unicode que especifica a versão de texto claro da senha atual e outras informações.

Name: ms-LAPS-Password
LDAP display name: msLAPS-Password
OID: 1.2.840.113556.1.6.44.1.2
Syntax: 2.5.5.5
OmSyntax: 19
IsSingleValued: True
IsMemberOfPartialAttributeSet: False
SearchFlags: 904
AttributeSecurityGuid: <not set>

Os dados armazenados nesse atributo são uma cadeia de caracteres JSON que contém vários pares nome-valor. For example:

{"n":"Administrator","t":"1d8161b41c41cde","p":"A6a3#7%eb!57be4a4B95Z43394ba956de69e5d8975#$8a6d)4f82da6ad500HGx"}

Cada par nome-valor na cadeia de caracteres JSON tem um significado específico:

msLAPS-EncryptedPassword

Esse atributo contém uma cadeia de caracteres de bytes que contém uma versão criptografada da senha atual.

Name: ms-LAPS-EncryptedPassword
LDAP display name: msLAPS-EncryptedPassword
OID: 1.2.840.113556.1.6.44.1.3
Syntax: 2.5.5.10
OmSyntax: 4
IsSingleValued: True
IsMemberOfPartialAttributeSet: False
SearchFlags: 904
AttributeSecurityGuid: f3531ec6-6330-4f8e-8d39-7a671fbac605 (ms-LAPS-Encrypted-Password-Attributes)

msLAPS-EncryptedPasswordHistory

Esse atributo contém uma cadeia de caracteres de bytes com vários valores. Cada valor contém uma versão criptografada de uma senha anterior.

Name: ms-LAPS-EncryptedPasswordHistory
LDAP display name: msLAPS-EncryptedPasswordHistory
OID: 1.2.840.113556.1.6.44.1.4
Syntax: 2.5.5.10
OmSyntax: 4
IsSingleValued: False
IsMemberOfPartialAttributeSet: False
SearchFlags: 904
AttributeSecurityGuid: f3531ec6-6330-4f8e-8d39-7a671fbac605 (ms-LAPS-Encrypted-Password-Attributes)

msLAPS-EncryptedDSRMPassword

Esse atributo contém uma cadeia de caracteres de bytes que contém uma versão criptografada da senha da conta DSRM (Modo de Restauração dos Serviços de Diretório) atual.

Name: ms-LAPS-EncryptedDSRMPassword
LDAP display name: msLAPS-EncryptedDSRMPassword
OID: 1.2.840.113556.1.6.44.1.5
Syntax: 2.5.5.10
OmSyntax: 4
IsSingleValued: True
IsMemberOfPartialAttributeSet: False
SearchFlags: 904
AttributeSecurityGuid: f3531ec6-6330-4f8e-8d39-7a671fbac605 (ms-LAPS-Encrypted-Password-Attributes)

msLAPS-EncryptedDSRMPasswordHistory

Esse atributo contém uma cadeia de caracteres de bytes com vários valores. Cada valor contém uma versão criptografada de uma senha de conta DSRM anterior.

Name: ms-LAPS-EncryptedDSRMPasswordHistory
LDAP display name: msLAPS-EncryptedDSRMPasswordHistory
OID: 1.2.840.113556.1.6.44.1.6
Syntax: 2.5.5.10
OmSyntax: 4
IsSingleValued: False
IsMemberOfPartialAttributeSet: False
SearchFlags: 904
AttributeSecurityGuid: f3531ec6-6330-4f8e-8d39-7a671fbac605 (ms-LAPS-Encrypted-Password-Attributes)

msLAPS-CurrentPasswordVersion

Esse atributo contém um GUID binário. O valor representa a versão lógica da senha persistida mais recentemente.

Name: ms-LAPS-CurrentPasswordVersion
LDAP display name: msLAPS-CurrentPasswordVersion
OID: 1.2.840.113556.1.6.44.1.7
Syntax: 2.5.5.10
OmSyntax: 4
IsSingleValued: True
IsMemberOfPartialAttributeSet: False
RangerLower: 16
RangerUpper: 16
SearchFlags: 904
AttributeSecurityGuid: f3531ec6-6330-4f8e-8d39-7a671fbac605 (ms-LAPS-Encrypted-Password-Attributes)

Extended rights

O Windows LAPS estende os ms-LAPS-Encrypted-Password-Attributes direitos no Active Directory do Windows Server. Você pode usar os ms-LAPS-Encrypted-Password-Attributes direitos estendidos para conceder permissões SELF a dispositivos gerenciados para ler e gravar vários atributos descritos nas seções anteriores.

Name: ms-LAPS-Encrypted-Password-Attributes
Rights guid: f3531ec6-6330-4f8e-8d39-7a671fbac605
Valid accesses: 48 (RIGHT_DS_READ_PROPERTY | RIGHT_DS_WRITE_PROPERTY)

Esquema do Windows LAPS versus esquema herdado do Microsoft LAPS

Assim como o Windows LAPS, o Microsoft LAPS herdado também exige que você use extensões de esquema para uma implantação do Windows Server Active Directory. Para ajudá-lo a planejar uma migração do Microsoft LAPS herdado para o Windows LAPS, a tabela a seguir mostra um mapeamento lógico de elementos de extensão de esquema:

Next steps

• Principais conceitos no Windows LAPS
• Usar logs de eventos da LAPS do Windows