Windows Server 2025 / Configurar Windows LAPS com Active Directory

O Windows Local Administrator Password Solution (Windows LAPS) mantém uma senha de administrador local diferente em cada dispositivo e a renova conforme a política definida. Para armazená-la no Active Directory Domain Services (AD DS), prepare o esquema, a permissão de gravação dos computadores, os direitos de leitura e descriptografia e a política aplicada aos dispositivos.

Escolher a conta e o local de armazenamento

Este exercício gerencia a conta local labadmin do servidor membro FS1, na OU Lab\Servers. Ele não trata de contas locais comuns em um controlador de domínio como DC1 nem da senha do Modo de Restauração dos Serviços de Diretório (DSRM). O Windows LAPS usa atributos de esquema, políticas e comandos diferentes dos usados pelo Microsoft LAPS antigo.

• Confira a versão do sistema, as atualizações, o módulo PowerShell LAPS e os modelos de política disponíveis.
• Restrinja a recuperação da senha a um pequeno grupo de administradores que realmente precise dela.
• Mantenha outra forma de administração operacional durante a implantação.
• Se habilitar a criptografia no AD DS, confirme que o nível funcional do domínio é Windows Server 2016 ou superior.

Siga o cenário Windows LAPS com AD DS da Microsoft. O domínio de laboratório criado com Windows Server 2025 pode ser avaliado para armazenamento criptografado, mas um domínio antigo pode não atender aos requisitos de criptografia.

Preparar o administrador local no FS1

Em uma sessão PowerShell elevada no FS1, verifique primeiro se labadmin já existe. Nesse caso, confira seu uso e não execute as linhas de criação. O grupo Administradores interno é identificado pelo identificador de segurança (SID), evitando diferenças entre nomes traduzidos:

Get-LocalUser -Name 'labadmin' -ErrorAction SilentlyContinue
$initialLocalPassword = Read-Host 'Initial local password' -AsSecureString
New-LocalUser -Name 'labadmin' -Password $initialLocalPassword -Description 'LAPS lab account'
$localAdminGroup = (Get-LocalGroup -SID 'S-1-5-32-544').Name
Add-LocalGroupMember -Group $localAdminGroup -Member "$env:COMPUTERNAME\labadmin"

Com uma conta personalizada criada manualmente, você precisa criar a conta e incluí-la no grupo Administradores antes que o Windows LAPS possa gerenciá-la. O gerenciamento automático de contas é outra forma de implantação; não misture as configurações dos dois métodos neste exercício.

Preparar o esquema e delegar direitos no AD DS

Estender o esquema altera toda a floresta; remover um vínculo de GPO não desfaz essa alteração. Em produção, obtenha a aprovação do procedimento e do plano de recuperação. No laboratório isolado, confirme primeiro se o esquema Windows LAPS já foi estendido. Caso contrário, execute a operação única com os privilégios adequados de administrador do esquema:

Update-LapsADSchema
Set-LapsADComputerSelfPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

A permissão dos computadores na OU permite que cada um atualize seus próprios dados LAPS; ela não concede a qualquer administrador o direito de ler as senhas. Crie o grupo de leitores abaixo apenas se ele não existir e inclua somente as identidades de administração designadas. Confirme que o prefixo NetBIOS AD corresponde ao seu domínio:

New-ADGroup -Name 'GG_LAPSReaders' -GroupCategory Security -GroupScope Global -Path 'OU=LabGroups,OU=Lab,DC=ad,DC=example,DC=test'
Set-LapsADReadPasswordPermission -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test' -AllowedPrincipals 'AD\GG_LAPSReaders'
Find-LapsADExtendedRights -Identity 'OU=Servers,OU=Lab,DC=ad,DC=example,DC=test'

A permissão para ler os atributos e a capacidade de descriptografar uma senha criptografada são distintas. Examine os direitos estendidos atuais para encontrar acessos excessivos. Consulte os comandos PowerShell do Windows LAPS antes de mudar a delegação.

Limitar a política ao servidor de teste

1. Crie o GPO Lab-LAPS-Servers e vincule-o a Lab\Servers. Confira os computadores existentes; se houver servidores reais na OU, use uma OU de teste separada.
2. Abra Configuração do Computador → Políticas → Modelos Administrativos → Sistema → LAPS. Se usar um repositório central, verifique se LAPS.admx e o arquivo ADML do idioma escolhido estão atualizados.
3. Selecione Windows Server Active Directory como diretório de armazenamento.
4. Defina labadmin como nome da conta de administrador gerenciada.
5. Habilite a criptografia da senha e informe AD\GG_LAPSReaders como principal autorizado a descriptografá-la, após confirmar o nome NetBIOS do domínio.
6. Para o laboratório, configure comprimento de 20 caracteres, complexidade 4 e idade de 30 dias; confira a compatibilidade com a política local.

Esses valores são exemplos. A complexidade 4 inclui letras maiúsculas, minúsculas, números e caracteres especiais. A referência das configurações do Windows LAPS descreve os valores aceitos e as versões de Windows compatíveis. Algumas opções recentes de senha e gerenciamento automático de contas não se aplicam a clientes antigos.

Verificar processamento, acesso e remoção

No FS1, atualize a política do computador e execute o processamento do Windows LAPS. No Visualizador de Eventos, consulte Logs de Aplicativos e Serviços → Microsoft → Windows → LAPS → Operational para confirmar o resultado:

gpupdate /target:computer /force
Invoke-LapsPolicyProcessing

Em um computador de administração com o módulo LAPS, um administrador autorizado pode consultar os metadados sem exibir a senha:

Get-LapsADPassword -Identity 'FS1' | Select-Object ComputerName,Account,PasswordUpdateTime,ExpirationTimestamp,DecryptionStatus

Confira o computador, a conta, os horários de atualização e expiração e o status da descriptografia, conforme as propriedades disponíveis no módulo instalado. Um usuário sem autorização não deve recuperar o segredo. Se for necessário consultar a senha, evite compartilhamento de tela, transcrições e logs. Recuperar a senha e conseguir entrar na conta local prevista são verificações distintas.

Desabilitar a política não restaura a senha antiga. Antes de retirar o Windows LAPS, confirme que outra forma de administração funciona e planeje uma nova senha exclusiva se necessário. Remova apenas os vínculos de política e as delegações previstos; não apague atributos do esquema nem atribua a mesma senha a todos os servidores.