Definir configurações de política para Windows LAPS

Windows solução de senha de administrador local (Windows LAPS) permite definir as configurações de política para gerenciar senhas de administrador local de forma segura e automática. Este artigo explica cada configuração de política e como administrá-las para melhorar a segurança e a conformidade.

Raízes de política com suporte

Embora não recomendado, você pode administrar um dispositivo usando vários mecanismos de gerenciamento de políticas. Para dar suporte a esse cenário de maneira compreensível e previsível, cada mecanismo de política de LAPS Windows recebe uma chave raiz distinta do Registro:

Windows LAPS consulta todas as raízes conhecidas de políticas de chaves do Registro, começando do topo e movendo-se para baixo. Se nenhuma configuração for encontrada em uma raiz, essa raiz será ignorada e a consulta continuará para a próxima raiz. Quando uma raiz que tem pelo menos uma configuração definida explicitamente é encontrada, essa raiz é usada como a política ativa. Se a raiz escolhida não possuir configurações, as configurações receberão os valores padrão.

As configurações de política nunca são compartilhadas ou herdadas entre as principais raízes da política.

Configurações de política com suporte do BackupDirectory

Windows LAPS dá suporte a várias configurações de política que você pode administrar por meio de várias soluções de gerenciamento de políticas ou até mesmo diretamente por meio do registro. Algumas dessas configurações se aplicam somente ao fazer backup de senhas para Active Directory e algumas configurações são comuns aos cenários Active Directory e Microsoft Entra.

A seguinte tabela especifica quais configurações se aplicam a dispositivos que têm a configuração BackupDirectory especificada:

Se BackupDirectory estiver definido como Desabilitado, todas as outras configurações serão ignoradas.

Você pode administrar quase todas as configurações usando qualquer mecanismo de gerenciamento de políticas. O Windows CSP (provedor de serviços de configuração do LAPS) tem duas exceções a essa regra. O CSP do Windows LAPS dá suporte a duas configurações que não estão na tabela anterior: ResetPassword e ResetPasswordStatus. Além disso, o Windows LAPS CSP não dá suporte à configuração ADBackupDSRMPassword (controladores de domínio nunca são gerenciados via CSP). Para obter mais informações, confira a documentação da LAPS do CSP.

Política de Grupo do Windows LAPS

Windows LAPS inclui um novo Objeto de Política de Grupo que você pode usar para administrar as configurações de política em dispositivos ingressados no domínio do Active Directory. Para acessar a Política de Grupo Windows LAPS, no Editor de Gerenciamento de Política de Grupo, acesse Computer Configuration>Policies>Modelos Administrativos>System>LAPS. A seguinte figura mostra um exemplo:

O modelo desse novo objeto de Política de Grupo é instalado como parte do Windows em %windir%\PolicyDefinitions\LAPS.admx.

Repositório central do objeto Política de Grupo

CSP do Windows LAPS

Windows LAPS inclui um CSP específico que você pode usar para administrar as configurações de política nos dispositivos ingressados no Microsoft Entra. Gerencie o Windows LAPS CSP usando Microsoft Intune.

Aplicar configurações de política

As seções a seguir descrevem como usar e aplicar várias configurações de política para Windows LAPS.

BackupDirectory

Usar essa configuração para controlar em qual diretório a senha da conta gerenciada terá backup.

Se não for especificada, essa configuração usará 0 como padrão (Desabilitado).

NomeDaContaDoAdministrador

Usar essa configuração para configurar o nome da conta de administrador local gerenciada.

Se não for especificada, essa configuração usará como padrão o gerenciamento da conta de administrador local interna.

PasswordAgeDays

Essa configuração controla a idade máxima da senha da conta de administrador local gerenciada. Os valores com suporte são:

• Minimum: um dia (quando o diretório de backup está configurado para ser Microsoft Entra ID, o mínimo é sete dias).)
• Máximo: 365 dias

Se não for especificada, essa configuração usará 30 dias como padrão.

PasswordLength

Usar essa configuração para configurar o comprimento da senha da conta de administrador local gerenciada. Os valores com suporte são:

• Mínimo: 8 caracteres
• Máximo: 64 caracteres

Se não for especificada, essa configuração usará 14 caracteres como padrão.

A configuração PasswordLength é ignorada, a menos que PasswordComplexity esteja configurada como uma das opções de senha.

PassphraseLength

Use essa configuração para configurar o número de palavras na frase secreta da conta de administrador local gerenciada. Os valores com suporte são:

• Mínimo: 3 palavras
• Máximo: 10 palavras

Se não for especificada, essa configuração usará 6 palavras como padrão.

A configuração PassphraseLength é ignorada, a menos que PasswordComplexity esteja configurada como uma das opções de frase secreta.

Complexidade de Senha

Use essa configuração para configurar a complexidade necessária da senha da conta de administrador local gerenciada ou para especificar que uma frase secreta é criada.

Se não for especificada, essa configuração usará 4 como padrão.

PasswordExpirationProtectionEnabled

Usar essa configuração para definir a imposição da idade máxima da senha para a conta de administrador local gerenciada.

Os valores com suporte são 1 (verdadeiro) ou 0 (falso).

Se não for especificada, essa configuração usará 1 (verdadeiro) como padrão.

ADPasswordEncryptionEnabled

Use essa configuração para habilitar a criptografia de senhas no Active Directory.

Os valores com suporte são 1 (verdadeiro) ou 0 (falso).

ADPasswordEncryptionPrincipal

Use essa configuração para configurar o SID (nome ou identificador de segurança) de um usuário ou grupo que pode descriptografar a senha armazenada em Active Directory.

Essa configuração será ignorada se a senha estiver armazenada no momento em Azure.

Se essa configuração não for especificada, somente os membros do grupo Administradores de Domínio no domínio do dispositivo poderão descriptografar a senha.

Se essa configuração for especificada, o usuário ou grupo especificado poderá descriptografar a senha armazenada no Active Directory.

ADEncryptedPasswordHistorySize

Use essa configuração para configurar quantas senhas criptografadas anteriores são lembradas em Active Directory. Os valores com suporte são:

• Mínimo : 0 senha
• Máximo: 12 senhas

Se não for especificada, essa configuração usará 0 senhas como padrão (Desabilitado).

ADBackupDSRMPassword

Use essa configuração para habilitar o backup da senha da conta DSRM em controladores de domínio Windows Server Active Directory.

Os valores com suporte são 1 (verdadeiro) ou 0 (falso).

Essa configuração usa 0 (falso) como padrão.

PostAuthenticationResetDelay

Use essa configuração para especificar a quantidade de tempo (em horas) para aguardar após uma autenticação antes de executar as ações de pós-autenticação especificadas (consulte PostAuthenticationActions). Os valores com suporte são:

• Mínimo : 0 hora (definir esse valor como 0 desabilita todas as ações pós-autenticação)
• Máximo: 24 horas

Se não for especificada, essa configuração usará 24 horas como padrão.

Ações Pós-Autenticação

Usar essa configuração para especificar as ações a serem executadas após a expiração do período de carência configurado (consulte PostAuthenticationResetDelay).

Essa configuração pode ter um dos seguintes valores:

Se não for especificada, essa configuração usará 3 como padrão.

GerenciamentoAutomáticoDeContaHabilitado

Use essa configuração para habilitar o gerenciamento automático de contas.

Os valores com suporte são 1 (verdadeiro) ou 0 (falso).

Essa configuração usa 0 (falso) como padrão.

Meta de Gerenciamento Automático de Contas

Use essa configuração para especificar se a conta de Administrador interna ou uma nova conta personalizada é gerenciada automaticamente.

Essa configuração usa 1 como padrão.

Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.

AutomaticAccountManagementNameOrPrefix

Use essa configuração para especificar o nome ou o prefixo do nome da conta gerenciada automaticamente.

Essa configuração usa WLapsAdmin como padrão.

Essa configuração é considerada um nome se AutomaticAccountManagementRandomizeName for 0 (Falso).

Essa configuração é tratada como um prefixo de nome se AutomaticAccountManagementRandomizeName for 1 (Verdadeiro).

Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.

GerenciamentoAutomáticoDeContaHabilitarConta

Use essa configuração para habilitar ou desabilitar a conta gerenciada automaticamente.

Essa configuração usa 0 como padrão.

Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.

AutomaticAccountManagementRandomizeName

Use essa configuração para habilitar a geração aleatória do nome da conta gerenciada automaticamente.

Quando essa configuração está habilitada, o nome da conta gerenciada (determinado pela configuração AutomaticAccountManagementNameOrPrefix) recebe um sufixo aleatório de seis dígitos toda vez que a senha é girada.

Os nomes das contas locais no Windows podem ter no máximo 20 caracteres, ou seja, o componente do nome deve ter no máximo 14 caracteres para ter espaço suficiente para o sufixo aleatório. Os nomes de conta especificados por AutomaticAccountManagementNameOrPrefix com mais de 14 caracteres são truncados.

Essa configuração usa 0 como padrão.

Esta configuração será ignorada a menos que AutomaticAccountManagementEnabled seja habilitado.

Valores padrão de política do Windows LAPS

Todas as configurações de política de LAPS Windows têm um valor padrão. O valor padrão é aplicado sempre que um administrador não define uma configuração específica. O valor padrão também é aplicado sempre que um administrador configura uma definição específica com um valor não suportado.

Tenha esses padrões em mente ao configurar novas funcionalidades do Windows LAPS, por exemplo, suporte a senha. Se você configurar uma política com um valor PasswordComplexity de 6 (senhas de palavra longa) e aplicar essa política a um sistema operacional mais antigo que não dê suporte a esse valor, o sistema operacional de destino usará o valor padrão de 4. Para evitar esse resultado, crie duas políticas diferentes: uma para o sistema operacional mais antigo e outra para o mais recente.

Conteúdo relacionado

• Use logs de eventos para Windows LAPS
• Use o cmdlet LAPS do PowerShell do Windows
• referência de extensões de esquema Windows LAPS