Solução de senha de administrador local (LAPS): dicas e melhores práticas

A conta de administrador local do Windows é um alvo cobiçado por hackers e malware. Há potencialmente muitas coisas ruins que podem acontecer se um hacker conseguir invadir a conta de admin local de um dos seus servidores.

Coisas terríveis geralmente ocorrem quando alguém baixa uma cepa de malware malicioso usando a conta de administrador também. A magnitude desses problemas é amplificada ainda mais se você usar a conta de administrador padrão e cada máquina similar usar a mesma senha.

Você pode ter a senha mais complexa do mundo, mas uma vez que ela seja comprometida em uma máquina, torna-se um convite aberto para todos os outros dispositivos que usam as mesmas credenciais de administrador local.

Claro, você poderia personalizar as credenciais de administrador local para cada dispositivo Windows, mas isso pode se mostrar extremamente demorado sem mencionar a tarefa de inventariar os vários conjuntos de credenciais. O processo se torna praticamente inviável quando você habilita a atualização de senhas (o que você deveria fazer, claro). É por isso que muitos administradores frequentemente apenas desabilitam isso.

Mas é compreensível ter algum tipo de conta de administrador local para “chegar e consertar a máquina” como redefinir a relação de confiança do domínio ou configurar um endereço IP manualmente, e assim por diante.

Se ter a mesma senha de administrador local em cada máquina é uma péssima ideia, o que pode ser feito a respeito?

Dica 1: Use o Microsoft Local Administrator Password Solution (LAPS)

Microsoft Local Administrator Password Solution (LAPS) is a Microsoft tool that gives AD administrators the ability to manage the local account password of domain-joined computers and store them in AD.

When implemented via Group Policy, LAPS creates a random password of a defined length and complexity that is cryptographically secure and different every time, on every machine. It then applies the newly created password to the Local Administrator account and records the password in a secure field in your Active Directory schema. They can then be retrieved when access is needed to the account. The process is done automatically whenever a Group Policy defined password refresh is due.

LAPS tem alguns requisitos para ser implementado:

• Aplica-se apenas a dispositivos Windows
• Os dispositivos devem estar vinculados ao domínio
• É necessário uma extensão gratuita do lado do cliente de Group Policy
• É necessário uma extensão de esquema (não se assuste).
• Isso só funciona para a conta de administrador local
• Funciona apenas para UMA conta de administrador local (caso você tenha mais de uma).

Dica 2: LAPS e Group Policy

Como mencionado, o LAPS é implantado usando o Group Policy, o que significa que requer a criação de um GPO. Primeiro você precisa baixar o LAPS, o que pode fazer aqui.
Então use o assistente para instalá-lo em sua máquina Group Policy Management. Você vai querer fazer isso manualmente, e tipicamente NÃO de alguma forma automatizada.

Certifique-se de selecionar pelo menos os Modelos de Editor de GPO para acessar os arquivos ADMX necessários. O cliente robusto é uma interface gráfica do usuário que concede a um usuário com direitos aplicáveis a capacidade de consultar a senha para um dispositivo designado. Você só precisa instalar as Ferramentas de Gerenciamento, e não a “Extensão de GPO AdmPwd” em sua máquina (a que possui o GPMC).

Você deve então acessar a pasta PolicyDefinitions local e copiar os arquivos AdmPwd.admx e AdmPwd.adml e colá-los na central store do AD. (Confira este video sobre esse processo).

Em seguida, precisamos estender o Esquema AD para acomodar as senhas locais.

Os dois atributos necessários são:

• ms-Mcs-AdmPwd – Armazena a senha em texto claro
• ms-Mcs-AdmPwdExpirationTime – Armazena o tempo para redefinir a senha

Para atualizar o esquema, basta importar o módulo AdmPwd PowerShell e usar o comando update-AdmPwdADSchema conforme mostrado abaixo.

O próximo passo é criar um GPO do lado do computador. Para este exemplo, vou chamá-lo de Política LAPS. As configurações do LAPS agora aparecerão em Configuração do Computador > Modelos Administrativos > LAPS onde 4 configurações estão disponíveis conforme mostrado abaixo.

Você pode usar seu LAPS GPO para gerenciar a senha tanto para o administrador local padrão quanto para uma conta de administrador local personalizada. Abaixo, eu ativei a configuração “Enable local admin password management”.

Se você renomeou a conta de administrador local (o que deveria fazer), pode então especificar o nome atualizado. Uma vez que a conta de administrador está selecionada, o passo final é habilitar a configuração de Group Policy que configura as definições de senha (que incluem comprimento e validade da senha).

Uma vez configurado, basta implantar o software de extensão do lado do cliente LAPS através do seu método de implantação de software desejado, como o PDQ Deploy. Você só precisa da parte “GPO Extension” se for fazer um teste inicial manualmente. Você pode ver isso aqui.

Você também pode usar o PolicyPak para obter mais controle sobre o processo de implantação. Mais sobre isso em apenas um minuto.

Dica #3: Obtendo senhas quando necessário via LAPS

Então, chega o dia em que você precisa saber qual é a senha gerada atualmente para uma das suas máquinas Windows. Como você faz isso? Existem várias maneiras. Uma delas é usar o seguinte comando do PowerShell.

Get-AdmPwdPassword -Computername “nome do computador”

Se você instalou o LAPS Fat Client, pode acessar o aplicativo LAPS UI no seu menu iniciar.

Dica #4: Atribua Políticas LAPS Granulares aos Usuários por meio de Direcionamento por Item

A PolicyPak oferece todas as configurações de template ADMX em seu PolicyPak Admin Templates Manager e nós as atualizamos a cada novo lançamento de ADMX. Há muitas vantagens em usar o Admin Templates Manager em vez da política de Grupo padrão.

PolicyPak utiliza o Editor de Política de Grupo conforme mostrado abaixo, mas adiciona um superpoder secreto.

O principal benefício é que o PolicyPak pode utilizar o Item-level Targeting para qualquer configuração de Group Policy, incluindo LAPS.

Se você está familiarizado com as Preferências de Política de Grupo, então já sabe como o ILT oferece muito mais granularidade em relação à atribuição de políticas. Por exemplo, digamos que todas as contas de administrador local nos seus servidores se chamam ServAdm1n e você deseja criar uma política LAPS separada para esses administradores. Como essas não são contas de administrador de domínio, você não pode direcioná-las usando política de grupo, mas pode usar o ILT para direcionar essas máquinas que executam o Windows Server 2016.

Agora vamos criar uma política LAPS para laptops de executivos de nível C. Naturalmente, gostaríamos de ter uma senha forte para essas contas de administrador local. Neste caso, quero impor senhas de 20 caracteres usando a maior complexidade possível. Em seguida, usarei ILT para direcionar o grupo de segurança de nível C. Como você pode ver na captura de tela abaixo, existem muitas opções de alvo, incluindo nome do computador, correspondência de OU, correspondência de Site, fator de forma do computador (Laptop vs. Desktop) e mais!

Como um bônus, enquanto GPOs tradicionais criados dentro do Editor de Política de Grupo normalmente só podem ser implantados usando Política de Grupo, as configurações do PolicyPak podem ser implantadas de várias maneiras, como SCCM, KACE ou o seu serviço MDM preferido.
Você pode aprender mais sobre esse processo assistindo este vídeo que demonstra o processo de entrega de configurações de Política de Grupo, sem o próprio motor de Política de Grupo.

Dica 5: Combine LAPS com PolicyPak Least Privilege Manager

Local Administrator Password Solution é uma ótima ferramenta para reforçar o acesso administrativo às suas máquinas mais importantes. Na verdade, também faz uma excelente combinação com PolicyPak Least Privilege Manager. PolicyPak Least Privilege Manager elimina completamente a necessidade de ter direitos de administrador local, permitindo que Usuários Padrão realizem funções especiais como um administrador… mas sem direitos de administração reais.

Juntos, vocês poderiam impor o LAPS em todas as suas máquinas empresariais ... já que não precisarão mais de acesso de administrador local.

No final, tudo o que você pode fazer com o Group Policy, pode fazer melhor com o PolicyPak. Implemente LAPS e adicione PolicyPak para obter mais segurança, poder e agilidade.

Senhas compartilhadas de administradores locais transformam uma máquina comprometida em acesso a todas as máquinas que as usam, um problema que uma solução de senha de administrador local resolve. Definir uma senha única em cada dispositivo evita esse reuso, mas cria um problema de inventário, pois cada credencial precisa de armazenamento e atualizações regulares.

O que é LAPS?

Como o LAPS funciona

Geração de senha

Gerenciar isso manualmente torna-se inviável, então muitos administradores desativam a conta, e 76% das organizações não conseguem revogar imediatamente o acesso permanente quando não é mais necessário, de acordo com o Netwrix 2026 Data and Identity Security Report.

Cada dispositivo gerenciado executa o mesmo ciclo, conduzido por uma tarefa em segundo plano que processa a política ativa a cada hora independentemente do ciclo de atualização do Group Policy.

Armazenamento de Directory

A conta ainda é útil para reparos imediatos, como redefinir uma relação de confiança de domínio quebrada ou codificar um endereço IP quando outras opções falham. Windows LAPS mantém esse acesso de recuperação e automatiza a gestão de senhas relacionada.

Rotação

LAPS é uma ferramenta da Microsoft que permite aos administradores gerenciar a senha do administrador local dos computadores associados ao domínio e armazená-la em Active Directory. Na sua versão atual, o Windows LAPS também pode fazer backup da senha no Microsoft Entra ID. Cada dispositivo gera sua própria senha aleatória que atende aos requisitos definidos de comprimento e complexidade, portanto, nenhuma máquina compartilha uma credencial.

Recuperação

Quando uma política que habilita o Windows LAPS chega ao dispositivo através de Group Policy ou Microsoft Intune, o dispositivo gera uma senha aleatória que atende aos requisitos de comprimento e complexidade da política e a aplica à conta de administrador local gerenciada.

O dispositivo então armazena a senha no diretório configurado, junto com um tempo de expiração baseado na idade da senha da política. No Active Directory, a senha fica em um atributo confidencial no objeto do computador, em texto claro ou criptografado. Cada dispositivo grava a sua própria, então o computador precisa de permissão de gravação em seus atributos LAPS enquanto um grupo separado e menor detém permissão de leitura.

Quando chega a hora de expirar, o dispositivo gera e armazena uma nova senha. A rotação também pode acontecer antecipadamente, seja quando um administrador executa Reset-LapsPasswordExpand no dispositivo, define o tempo de expiração no diretório ou depende da política para rotacionar a senha após o login da conta gerenciada.

Contra o que o LAPS protege

Um administrador autorizado recupera a senha quando precisa fazer login nessa máquina, por meio do PowerShell ou Active Directory Users and Computers.

LAPS ataca uma vulnerabilidade na credencial do administrador local: a mesma senha em várias máquinas, uma senha que permanece válida após o uso e uma senha legível por muitas pessoas.

Netwrix Privilege Secure cria uma conta com escopo de tarefa para cada sessão administrativa e a remove quando a sessão termina. Solicite uma demonstração.

Pass-the-hash e movimento lateral

Credenciais compartilhadas no trabalho de help desk

Dispositivos inacessíveis

Leituras não autorizadas de senhas

O trabalho remoto de help desk requer acesso de administrador local, e uma senha que muitos técnicos conhecem e que ninguém rotaciona mantém esse acesso aberto muito depois do fechamento do chamado. Com LAPS, um técnico recupera a senha de uma máquina, faz login, e a senha é rotacionada após o uso, então a credencial que ele aprendeu para de funcionar.

Um dispositivo com confiança de domínio quebrada, ou cujas contas de domínio não podem fazer login, ainda é acessível através da conta de administrador local, desde que alguém saiba a senha atual. LAPS mantém essa senha no diretório, para que os administradores possam fazer login e recuperar dispositivos que, de outra forma, seriam inacessíveis.

Windows LAPS vs legacy Microsoft LAPS

Senhas armazenadas tornam-se um alvo, portanto o access control model é importante. As permissões do Active Directory e a criptografia opcional decidem quem pode ler ou descriptografar cada senha, e o Microsoft Entra ID usa controle de acesso baseado em função, para que apenas leitores autorizados recuperem uma senha específica.

Um ataque pass-the-hash reutiliza um hash de senha roubado sem decifrá-lo, e uma senha compartilhada de administrador local torna esse hash válido em todas as máquinas que o usam, então uma estação de trabalho comprometida permite movimentação lateral em toda a rede. Com LAPS, cada dispositivo tem uma senha diferente, então um hash roubado de uma máquina autentica apenas essa máquina.

Dois produtos compartilham o nome LAPS, e as diferenças decidem onde as senhas ficam, se estão criptografadas e por quanto tempo a Microsoft corrigirá problemas.

O que o Windows LAPS adiciona

Windows LAPS é uma implementação separada, não uma atualização do produto legado, portanto, os dois podem funcionar em um dispositivo apenas se gerenciarem contas diferentes.

Windows LAPS foi lançado nas atualizações do Windows de 11 de abril de 2023 e está integrado ao sistema operacional, portanto, não é necessário distribuir um pacote cliente.

• O backup para Microsoft Entra ID tornou-se disponível para todos em 23 de outubro de 2023, unificando dispositivos Entra-joined e hybrid-joined sob o mesmo modelo.
• No Active Directory, o Windows LAPS pode criptografar senhas armazenadas e manter um histórico de senhas, e os controladores de domínio podem fazer backup da senha da conta DSRM.
• Windows 11 24H2 e Windows Server 2025 adicionam geração de frases de senha e gerenciamento automático de contas.

O que a descontinuação significa para o LAPS legado

Qual versão usar

A Microsoft descontinuou o legacy Microsoft LAPS a partir do Windows 11 23H2 e versões posteriores. Sistemas operacionais mais recentes bloqueiam o instalador legacy, e a Microsoft não considera mais alterações de código para o produto. O suporte continua apenas nas versões antigas do Windows até que elas atinjam o fim do suporte.

• Cada versão grava em um log de eventos dedicado e inclui um módulo PowerShell, LAPSExpand, que substitui os cmdlets legados do AdmPwdExpand.

Windows LAPS inclui um modo de emulação legado que respeita uma política existente durante a migração. Considere-o uma ponte, pois armazena a senha em texto claro e não pode usar criptografia ou histórico de senhas.

Use Windows LAPS para novas implantações no Windows 11 23H2 e posteriores e Windows Server 2025 e posteriores. Versões anteriores suportadas, incluindo Windows 11 22H2 e 21H2, Windows Server 2022 e 2019 e Windows 10, precisam da atualização de 11 de abril de 2023 ou posterior.

Como configurar e usar o Windows LAPS

O Windows 10 atingiu o fim do suporte em 14 de outubro de 2025, e o Windows LAPS permanece disponível apenas em dispositivos Windows 10 que ainda recebem atualizações, como pelo programa Extended Security Updates. Para novas implantações, use o Windows 11 ou uma versão suportada do Windows Server.

Passo 1: Verifique os requisitos

Execute as próximas etapas a partir de um servidor ou estação de trabalho que tenha o módulo Windows LAPS PowerShell, incluído na atualização.

Estas etapas implantam o Windows LAPS em dispositivos associados ao domínio que fazem backup das senhas no Active Directory.

Confirme que cada dispositivo execute um sistema operacional suportado com a atualização de 11 de abril de 2023 ou posterior, e que esteja ingressado ou ingressado híbrido no Active Directory. A criptografia de senha requer um nível funcional de domínio de 2016 ou posterior, e o backup DSRM requer controladores de domínio executando Windows Server 2019 ou posterior.

Passo 2: Atualize o esquema do Active Directory

Passo 3: Conceder permissões

Estenda o esquema uma vez por floresta para que o Windows LAPS possa armazenar senhas em novos atributos no objeto computador. Execute o cmdlet em um controlador de domínio Windows Server 2019 ou posterior, ou em um servidor que tenha o módulo:

Em seguida, verifique quem já possui direitos estendidos nessa OU. Cada atributo de senha do Windows LAPS é confidencial, portanto qualquer principal com direitos estendidos pode lê-los:

Uma implantação precisa de dispositivos que escrevam suas próprias senhas, um grupo que as leia e um grupo (frequentemente o mesmo) que possa forçar uma expiração. Conceda cada um contra a unidade organizacional que contém os computadores:

Passo 4: Configure a política no Group Policy

Remova os direitos estendidos de qualquer principal que não deva ler senhas.

O cmdlet adiciona atributos de esquema como msLAPS-PasswordExpand, msLAPS-EncryptedPasswordExpand e msLAPS-PasswordExpirationTimeExpand. Não é necessário repetir em outros domínios da mesma floresta.

Passo 5: Verifique a política aplicada

Em um dispositivo alvo, verifique no log de eventos do Windows LAPS o ID do evento 10018Expand, que confirma que a senha foi gravada no Active Directory. Se não quiser esperar pelo ciclo horário, processe a política agora:

Defina BackupDirectoryExpand como 2 para Active Directory e deixe AdministratorAccountNameExpand não configurado para gerenciar a conta de administrador integrada, que o Windows LAPS identifica pelo seu identificador relativo conhecido em vez do nome, e configure-o apenas para uma conta personalizada. O Windows LAPS não cria essa conta personalizada, então crie-a primeiro, a menos que você ative o gerenciamento automático de contas no Windows 11 24H2 ou Windows Server 2025.

Passo 6: Recuperar uma senha

Crie um objeto de Política de Grupo (GPO) no computador, abra Configuração do Computador > Políticas > Modelos Administrativos > Sistema > LAPS e configure as configurações de política do Windows LAPS policy settings. O modelo LAPS.admxExpand é fornecido na pasta local PolicyDefinitions e, se você usar um central store, copie-o manualmente porque as atualizações do Windows não fazem isso para você.

As mesmas pessoas podem ler a senha nas propriedades do objeto do computador em Active Directory Users and Computers.

Recupere a senha atual de uma máquina específica quando precisar acessá-la, usando uma conta do grupo de leitores do passo 3:

Passo 7: rotacione uma senha sob demanda

Em seguida, verifique se o objeto do computador possui um atributo msLAPS-PasswordExpirationTimeExpand novo ou atualizado. Se o evento 10018Expand nunca aparecer ou o atributo permanecer vazio, verifique novamente o link do GPO e a permissão de autoescrita do passo 3.

Também renomeie a conta integrada para torná-la um pouco mais difícil de adivinhar, embora o identificador conhecido da conta limite o benefício. Quando você deixar as configurações de senha não configuradas, PasswordAgeDaysExpand padrão para 30, PasswordLengthExpand para 14, e PasswordComplexityExpand para 4.

Após um técnico usar uma senha, ou após qualquer evento que possa tê-la exposto, altere-a. No próprio dispositivo, execute:

Windows LAPS com Microsoft Entra ID

Com esses sete passos implementados, cada dispositivo na unidade organizacional possui sua própria senha no Active Directory. O grupo leitor pode recuperá-la e rotacioná-la, e o ciclo de política por hora mantém o cronograma de rotação funcionando sem trabalho adicional.

Do lado do diretório, defina o tempo de expiração para agora, e o dispositivo rotaciona no próximo ciclo de política, ou imediatamente se você executar Invoke-LapsPolicyProcessingExpand nele:

Um administrador deve primeiro ativar o Windows LAPS para o locatário, pois o Entra ID não aceita novas senhas de dispositivos gerenciados por padrão.

O controle de acesso baseado em função do Entra protege as senhas e, por padrão, apenas os papéis Global Administrator, Cloud Device Administrator e Intune Administrator podem recuperá-las, portanto, revise quem possui esses papéis altamente privilegiados.

Como migrar do LAPS legado para Windows LAPS

A política vem do Microsoft Intune e do provedor de serviço de configuração do Windows LAPS com BackupDirectoryExpand definido como 1, e a recuperação é feita via Microsoft Graph com Get-LapsAADPasswordExpand ou os portais Entra e Intune.

Dispositivos conectados apenas ao Microsoft Entra ID fazem backup apenas no Entra ID, dispositivos conectados apenas ao Active Directory fazem backup apenas no Active Directory, e dispositivos híbridos escolhem um dos dois, nunca ambos. O Entra ID não precisa de extensão de esquema nem permissões do Active Directory, portanto, as etapas de configuração acima não se aplicam a esses dispositivos.

Funciona em dispositivos Windows associados ao domínio, com a extensão em cada máquina gerenciada, uma extensão de esquema e uma única conta local de administrador gerenciada.

• Política: a Diretiva de Grupo legada possui quatro configurações, incluindo "Habilitar gerenciamento de senha do administrador local."
• Cliente: a interface do usuário do LAPS, um cliente pesado no menu Iniciar, permite que um usuário com direitos consulte a senha de um dispositivo.
• Atributos: a senha está em ms-Mcs-AdmPwdExpand em texto claro, e ms-Mcs-AdmPwdExpirationTimeExpand contém o tempo para redefini-la.
• Implantação: os administradores normalmente enviam a extensão para os endpoints com uma ferramenta de implantação de software.
• Comandos: Update-AdmPwdADSchemaExpand estende o esquema, e Get-AdmPwdPassword -ComputerName "nome do computador"Expand recupera uma senha.

Implantações legadas ainda são comuns, então identifique a sua antes de migrar. Uma implantação legada usa o instalador Microsoft para download, sua extensão do lado do cliente do Group Policy (a AdmPwd extension), ferramentas de gerenciamento para o Group Policy Management Console, e os modelos AdmPwd.admxExpand e AdmPwd.admlExpand.

Passo 1: Escolha uma abordagem de migração

Conclua a atualização do esquema do Windows LAPS e as concessões de permissões na seção de configuração antes de migrar.

Passo 2: Desative a política legada e aplique uma política Windows LAPS

Passo 3: Confirme a transição

1. Verifique o log de eventos do Windows LAPS para eventos de atualização de senha bem-sucedidos.

Desvincule ou desative o GPO legado para a unidade organizacional que você está migrando e vincule o GPO do Windows LAPS o mais próximo possível do mesmo momento. Quando um dispositivo aplica pela primeira vez uma política do Windows LAPS, ele gira imediatamente a senha da conta gerenciada, então agende a alteração durante um período em que ninguém precise de uma senha imediata para essas máquinas.

Verifique a transição em um dispositivo de amostra:

Uma transição imediata move um dispositivo da gestão legacy para a gestão Windows LAPS da mesma conta em uma única mudança. Uma abordagem lado a lado mantém o legacy LAPS na conta existente enquanto o Windows LAPS gerencia uma segunda conta local, e você remove a conta extra no final. A política legacy e a política Windows LAPS nunca devem direcionar a mesma conta no mesmo dispositivo.

Passo 4: Remova o software legado

1. Confirme que msLAPS-PasswordExpirationTimeExpand possui um novo valor no objeto do computador.
2. Recupere a senha com Get-LapsADPasswordExpand para provar que o novo caminho funciona de ponta a ponta.

Uma vez que todos os dispositivos no escopo relatem sob Windows LAPS, desinstale a extensão legada dos endpoints e as ferramentas de gerenciamento das estações de trabalho administrativas. Para uma instalação MSI, execute isto a partir de um prompt de comando elevado:

Como proteger sua implantação do LAPS

Restringir quem pode ler senhas

Uma implantação funcional e uma segura diferem em quem pode ler as senhas, como elas são armazenadas e com que rapidez uma senha usada expira.

Criptografe senhas no Active Directory

Execute novamente Find-LapsADExtendedRightsExpand após qualquer alteração de delegação, pois os detentores de direitos estendidos podem ler os atributos confidenciais da senha.

Conceda permissão de leitura a um grupo de segurança dedicado, como o nível de help desk que realiza reparos presenciais, e mantenha grupos amplos de TI fora disso. Os Domain Admins já podem ler senhas, então o grupo se soma a eles, e seus membros merecem as mesmas revisões de acesso que qualquer grupo privilegiado.

Definir configurações de senha forte

Ative ADPasswordEncryptionEnabledExpand para que o dispositivo criptografe a senha antes de gravá-la no atributo msLAPS-EncryptedPasswordExpand. A criptografia requer um nível funcional de domínio 2016 ou posterior.

A permissão de leitura não confere direitos de descriptografia, e ADPasswordEncryptionPrincipalExpand nomeia o único usuário ou grupo autorizado a descriptografar, que por padrão é Domain Admins quando não definido. Defina-o para seu grupo de leitores, porque um help desk que pode ler um atributo que não pode descriptografar não ganha nada.

Redefinir senhas após o uso

A criptografia também desbloqueia o histórico de senhas, então defina ADEncryptedPasswordHistorySizeExpand (padrão 0; aceita até 12) se os técnicos às vezes precisarem da senha anterior.

Use políticas diferentes para dispositivos diferentes

Reduza o atraso para dispositivos sensíveis e combine com a rotação sob demanda do passo 7 quando um técnico terminar em 10 minutos, para que a credencial não dure a tarde toda.

Um usuário com uma senha válida do Windows LAPS pode obter privilégios administrativos e impedir ou contornar esses mecanismos, portanto, a redefinição limita a exposição sem aplicá-la.

PostAuthenticationActionsExpand controla o que acontece depois que alguém se autentica com a conta gerenciada, e PostAuthenticationResetDelayExpand controla quanto tempo o dispositivo espera. Por padrão, o dispositivo redefine a senha e sai da conta gerenciada 24 horas após a autenticação, e um atraso de 0 desativa essas ações.

Faça backup da conta de recuperação do controlador de domínio

Servidores cujo administrador local se chama ServAdm1n podem usar uma política, enquanto laptops executivos podem usar outra que exige senhas de 20 caracteres, com cada GPO vinculada à unidade organizacional correspondente ou filtrada para um grupo de segurança.

Use políticas separadas para sistemas operacionais antigos e novos também, pois frases-senha, gerenciamento automático de contas e ação pós-autenticação 11 aplicam-se apenas ao Windows 11 24H2 e Windows Server 2025.

Limites do LAPS

LAPS mantém uma conta de administrador ativa

Nos controladores de domínio, ative ADBackupDSRMPasswordExpand para que o Windows LAPS faça backup da senha da conta DSRM, o que requer criptografia de senha e controladores de domínio Windows Server 2019 ou posteriores.

LAPS protege as credenciais de administrador local e deixa o acesso permanente, fluxos de aprovação e cobertura fora do Windows para outros controles.

Aumente PasswordLengthExpand acima do padrão de 14 caracteres quando os dispositivos exigirem, até 64, e mantenha PasswordComplexityExpand em 4 ou mais. No Windows 11 24H2 e Windows Server 2025, valores de complexidade de 6 a 8 geram frases de senha mais fáceis de ler por telefone, e PassphraseLengthExpand define a contagem de palavras. Combine cada configuração com a política local de senha do dispositivo, pois um valor incompatível faz com que o Windows LAPS falhe ao criar uma senha e registre o evento 10027Expand.

A conta gerenciada permanece uma conta de administrador local que pode ser desativada entre os usos, enquanto o LAPS torna sua senha única e a rotaciona. O Netwrix 2026 Data and Identity Security Report constatou que as taxas de violação aumentam mais 7 pontos quando o acesso privilegiado permanente é a norma.

LAPS não possui fluxo de aprovação ou de sessão

LAPS cobre apenas Windows

Windows LAPS não pode fazer backup das senhas DSRM no Microsoft Entra ID. Quando todos os controladores de domínio estiverem inativos, Get-LapsADPasswordExpand com o parâmetro -PortExpand lê senhas de um backup montado do diretório.

Como a Netwrix ajuda a reduzir o acesso permanente do administrador local

Substitua o acesso permanente de administrador local por acesso just-in-time

Eliminar a necessidade de local administrator rights completamente é a opção mais forte, pois os usuários padrão podem então realizar tarefas especiais sem elas e a conta gerida pelo LAPS torna-se uma credencial de emergência raramente usada. LAPS e least privilege trabalham juntos, com o LAPS protegendo as contas restantes.

Windows LAPS gerencia contas locais em dispositivos Windows vinculados ao Active Directory ou Microsoft Entra ID, e não suporta clientes Microsoft Entra workplace-joined. Hosts Linux, laptops macOS e dispositivos de rede ficam fora, assim como qualquer máquina Windows que não esteja vinculada ao diretório.

Qualquer pessoa com permissão de leitura pode recuperar uma senha dentro do seu escopo delegado, e uma senha recuperada concede direitos de administrador local até que ela seja rotacionada. O atraso pós-autenticação limita essa janela, e a lista de permissões identifica quem pode recuperar uma senha. LAPS gerencia a credencial e não registra o que um administrador faz após o login, portanto, uma auditoria separada mostra o que foi feito.

A administração rotineira frequentemente deixa uma conta ativa, e Netwrix Privilege Secure mira essa conta.

Registre o que os administradores fazem com acesso elevado

Encontre contas privilegiadas permanentes

Netwrix Privilege Secure substitui direitos administrativos permanentes por acesso just-in-time, criando acesso apenas para a tarefa e removendo-o quando a tarefa termina. A elevação é limitada no tempo e expira automaticamente, portanto, nenhuma credencial elevada permanente fica ociosa entre usos.

Combine LAPS com acesso just-in-time para administração rotineira

Eastern Carver County Schools viu Red Teams acessarem repetidamente sistemas críticos por meio de acesso privilegiado excessivo e desnecessário. Com Netwrix Privilege Secure, o distrito concede acesso imediato por meio de contas temporárias que são removidas após a conclusão da tarefa, e implementou Privileged Access Management para seus sistemas críticos em dias, não meses.

Netwrix Privilege Secure, um produto de Privileged Access Management, grava e monitora sessões privilegiadas, para que um auditor que pergunte o que aconteceu durante uma sessão elevada obtenha a própria sessão. A gravação oferece a um investigador uma trilha de auditoria para trabalhos forenses, o que o LAPS não fornece.

Netwrix Privilege Secure escaneia o ambiente para descobrir contas privilegiadas ocultas. Use os resultados para decidir quais contas o LAPS deve gerenciar, quais devem passar para acesso just-in-time e quais devem ser removidas.

Uma implantação sólida do LAPS usa Windows LAPS em vez do produto legado, criptografa senhas no diretório correto, restringe quem pode lê-las, as rotaciona após o uso e migra dispositivos que ainda executam o cliente antigo.

Protege as contas que devem permanecer. Para todo o resto, pergunte se cada tarefa administrativa precisa realmente de uma conta permanente e ajuste o controle à duração da tarefa, revogação automática e evidência da sessão.

Netwrix Privilege Secure cobre o lado da administração rotineira dessa decisão com just-in-time access, gravação de sessões e descoberta de contas privilegiadas permanentes.

Solicite uma demonstração para ver como Netwrix Privilege Secure substitui contas de administrador permanentes por sessões just-in-time, registra as ações dos administradores e encontra as contas privilegiadas permanentes que você ainda possui.