O que é o Windows LAPS?

A Solução de Senha de Administrador Local do Windows (Windows LAPS) é um recurso do Windows que gerencia e faz backup automaticamente da senha de uma conta de administrador local em seus dispositivos associados ao Microsoft Entra ou ao Ative Directory do Windows Server. Também pode usar Windows LAPS para gerir e fazer backup da palavra-passe da conta do Modo de Restauro dos Serviços de Diretório (DSRM) nos seus controladores de domínio Windows Server Active Directory.

As contas de administrador local partilham frequentemente a mesma palavra-passe em vários dispositivos, o que os agentes mal-intencionados podem explorar para se moverem lateralmente pelo seu ambiente. O Windows LAPS ajuda-o a colmatar essa lacuna ao rodar regularmente a palavra-passe local de administrador de cada dispositivo, armazená-la de forma segura e permitir que administradores autorizados a recuperem para iniciar sessão ou recuperar um dispositivo.

Este artigo apresenta as plataformas que o Windows LAPS suporta, os seus principais cenários e benefícios, e como difere do produto legado Microsoft LAPS, para que possa decidir como usar o Windows LAPS no seu ambiente.

Plataformas suportadas pelo Windows LAPS

O Windows LAPS está disponível nas seguintes plataformas de SO:

Cliente Windows

Windows 10 atingiu o fim do suporte a 14 de outubro de 2025. O Windows LAPS continua disponível apenas em dispositivos Windows 10 que continuam a receber atualizações, como através do programa Extended Security Updates (ESU). Para a manutenção suportada do Windows 10 e as datas do ciclo de vida, consulte o FAQ sobre o ciclo de vida do Windows. Para novas implementações, utilize o Windows 11 ou uma versão suportada do Windows Server.

As definições de Gestão Automática de Contas no fornecedor de serviço de configuração Windows LAPS (CSP) requerem Windows 11, versão 24H2 ou posterior, ou Windows Server 2025 ou posterior.

Servidor Windows

O Windows LAPS está disponível em todas as edições suportadas destas plataformas, incluindo as edições de canal de manutenção a longo prazo (LTSC). A introdução da funcionalidade Windows LAPS não modifica as políticas padrão do ciclo de vida dos produtos Microsoft.

Windows LAPS e Microsoft Entra ID

O Windows LAPS com Microsoft Entra ID e suporte ao Microsoft Intune está disponível em geral a partir de 23 de outubro de 2023. Para obter mais informações, consulte Solução de Senha de Administrador Local do Windows com ID do Microsoft Entra agora disponível para o público em geral e Solução de Senha de Administrador Local do Windows na ID do Microsoft Entra.

Benefícios do uso do Windows LAPS

Use o Windows LAPS para alternar e gerenciar regularmente senhas de contas de administrador local e obtenha estes benefícios:

  • Proteção contra ataques pass-the-hash e movimentação lateral
  • Segurança melhorada para cenários de help desk remoto
  • Capacidade de iniciar sessão e recuperar dispositivos que, de outra forma, estariam inacessíveis
  • Um modelo de segurança detalhado (listas de controlo de acesso e encriptação opcional de palavra-passe) para proteger palavras-passe armazenadas em Windows Server Active Directory
  • Suporte para o modelo de controlo de acesso baseado em funções do Microsoft Entra para proteger as palavras-passe armazenadas no Microsoft Entra ID

Vídeos informativos do Windows LAPS

Os vídeos seguintes dão-lhe mais informações sobre a funcionalidade LAPS do Windows. Como estes vídeos não incluem conteúdo textual, utilize os artigos circundantes para obter a orientação oficial sobre o Windows LAPS.

Apresentação do Windows Technical Takeoff em novembro de 2022:

Discussão sobre o Windows Tackling Tech (agosto de 2023):

Principais cenários de LAPS do Windows

Você pode usar o Windows LAPS para vários cenários principais:

  • Fazer uma cópia de segurança das palavras-passe das contas de administrador local para a ID do Microsoft Entra (para dispositivos associados ao Microsoft Entra)

  • Fazer backup de senhas de conta de administrador local no Ative Directory do Windows Server (para clientes e servidores ingressados no Ative Directory do Windows Server)

  • Fazer backup de senhas de conta DSRM no Ative Directory do Windows Server (para controladores de domínio do Ative Directory do Windows Server)

  • Efetue uma cópia de segurança das palavras-passe das contas de administrador local no Active Directory do Windows Server utilizando o modo de emulação do Microsoft LAPS legado, no qual o Windows LAPS nativo respeita as definições de Política de Grupo do Microsoft LAPS legado existentes durante a migração

Em cada cenário, você pode aplicar configurações de diretiva diferentes.

Compreender as restrições de estado de participação do dispositivo

Se um dispositivo está associado ao Microsoft Entra ID ou ao Ative Directory do Windows Server determina como você pode usar o Windows LAPS.

  • Os dispositivos que estão vinculados apenas ao ID do Microsoft Entra podem fazer cópias de segurança de senhas somente no Microsoft Entra ID.
  • Os dispositivos que ingressaram somente no Ative Directory do Windows Server podem fazer backup de senhas somente para o Ative Directory do Windows Server.
  • Os dispositivos que estão associados de forma híbrida (associados ao Microsoft Entra ID e ao Windows Server Active Directory) podem efetuar cópias de segurança das respetivas palavras-passe no Microsoft Entra ID ou no Windows Server Active Directory.

Não é possível fazer backup de senhas para o Microsoft Entra ID e o Windows Server Ative Directory.

O Windows LAPS não suporta clientes unidos ao ambiente de trabalho do Microsoft Entra.

Definir a política de LAPS do Windows

Para configurar e gerenciar a política para sua implantação do Windows LAPS, você tem várias opções:

Gerenciar e monitorar o Windows LAPS

Tem várias opções para gerir e monitorizar o Windows LAPS.

As opções para Windows incluem:

Quando faz backup das palavras-passe do Microsoft Entra ID, obtém soluções de monitorização e relatórios baseadas no Microsoft Entra ID.

Descontinuação do antigo produto Microsoft LAPS

Important

O produto Microsoft LAPS herdado foi preterido a partir do Windows 11 23H2 e posterior. Versões mais recentes do sistema operativo bloqueiam a instalação do pacote legado Microsoft LAPS Microsoft Installer (MSI). A Microsoft já não considera alterações de código para o produto legado Microsoft LAPS.

Use o Windows LAPS para gerir as palavras-passe das contas de administrador local. O Windows LAPS está disponível no Windows Server 2019 e posterior, e em clientes Windows 10 e Windows 11 suportados.

A Microsoft continuará a suportar o produto legado Microsoft LAPS nas versões mais antigas do Windows (anteriores ao Windows 11 23H2) que anteriormente o suportavam. Esse suporte termina no extremo normal do suporte para essas versões do sistema operativo.

Windows LAPS vs. Microsoft LAPS antigo

O LAPS do Windows herda muitos conceitos de design do legado Microsoft LAPS. Se está familiarizado com o Microsoft LAPS antigo, reconhece muitas funcionalidades do Windows LAPS. Uma diferença importante é que o Windows LAPS é uma implementação totalmente separada que é nativa do Windows. O Windows LAPS também adiciona muitos recursos que não estão disponíveis no Microsoft LAPS herdado. Você pode usar o Windows LAPS para fazer backup de senhas para o Microsoft Entra ID, criptografar senhas no Ative Directory do Windows Server e armazenar seu histórico de senhas.

O Windows LAPS não requer a instalação do LAPS herdado da Microsoft. Você pode utilizar plenamente todos os recursos do Windows LAPS sem ter de instalar ou referir-se ao Microsoft LAPS legado. Para ajudar a migrar uma implementação legada do Microsoft LAPS, o Windows LAPS oferece o modo de emulação Microsoft LAPS legado. Lembre-se que o produto legado Microsoft LAPS está obsoleto nas versões mais recentes do Microsoft OS. Para obter mais informações, consulte Descontinuação do produto Microsoft LAPS legado.

Do Microsoft LAPS antigo ao Windows LAPS nativo

Como o produto legado Microsoft LAPS está obsoleto e as versões mais recentes do Windows bloqueiam o seu instalador, o Windows LAPS nativo é a forma suportada para gerir palavras-passe de administrador local. O Windows LAPS nativo não requer download ou instalação separada. Está integrado nas versões suportadas do Windows e Windows Server, por isso não precisas de instalar o Microsoft LAPS antigo para o adotares.

Para planear e concluir a mudança em dispositivos que atualmente executam Microsoft LAPS legados, consulte Migrar para Windows LAPS a partir dos LAPS legados. Esse artigo é a fonte de referência para os pré-requisitos de migração, as opções de migração disponíveis, como validar que o Windows LAPS nativo gere as suas contas com sucesso e como remover o software legado do Microsoft LAPS após a transição.

Modo de emulação Microsoft LAPS antigo

Se não conseguires passar diretamente para o Windows LAPS nativo, podes correr o Windows LAPS no modo de emulação Microsoft LAPS antigo como opção de transição. Neste modo, o Windows LAPS respeita as suas definições legadas da Microsoft LAPS Group Policy enquanto completa a migração.

O modo de emulação tem dois pré-requisitos críticos:

  • Não instale a extensão legada da Microsoft LAPS Group Policy do lado do cliente (CSE) no dispositivo gerido. Se o CSE legado estiver presente, o Windows LAPS recorre a ele e desativa o modo de emulação para evitar conflitos.
  • As definições nativas de políticas LAPS do Windows têm prioridade. Se configurar um dispositivo com definições nativas de políticas LAPS do Windows e definições legadas de políticas Microsoft LAPS, o Windows LAPS aplica as definições nativas e ignora as definições legadas emuladas.

O modo de emulação tem limitações de segurança. Tal como o LAPS legado da Microsoft, armazena as palavras-passe no Active Directory do Windows Server apenas em texto simples, pelo que não pode utilizar as funcionalidades nativas do Windows LAPS de encriptação de palavras-passe nem de histórico de palavras-passe. Trate o modo de emulação como um passo temporário e planeie migrar para o Windows LAPS nativo para tirar partido das suas funcionalidades de segurança. Para mais informações, consulte Introdução ao Windows LAPS no modo de emulação do Microsoft LAPS legado.

Declaração de suporte do Windows LAPS e do Microsoft LAPS legado

A Microsoft lançou o produto legado Microsoft LAPS em 2016 no Centro de Transferências da Microsoft. O Windows LAPS foi lançado como parte do Windows Updates, lançado a 11 de abril de 2023, para as plataformas listadas nas plataformas suportadas pelo Windows LAPS.

A Microsoft e a sua organização de distribuição de suporte oferecem suporte assistido tanto para Microsoft LAPS como para Windows LAPS legados, incluindo interoperabilidade entre os dois produtos. A Microsoft descontinuou o produto legado Microsoft LAPS nas versões mais recentes do Microsoft OS. Para obter mais informações, consulte Descontinuação do produto Microsoft LAPS legado.

Recomendamos vivamente que comece já a planear a migração dos seus sistemas compatíveis com Windows LAPS do Microsoft LAPS antigo para a funcionalidade Windows LAPS. O Windows LAPS oferece muitos recursos de segurança novos e serviços de produtos aprimorados.

Perguntas diretas sobre limitações e preocupações de interoperabilidade entre ferramentas de gestão de palavras-passe de contas locais de terceiros e o Windows LAPS ao programador da aplicação de terceiros, não à Microsoft.

Requisitos de licenciamento Windows LAPS

A funcionalidade Windows LAPS está disponível gratuitamente em todas as plataformas Windows suportadas.

Você pode fazer backup de senhas para o Ative Directory do Windows Server sem outros requisitos de licenciamento.

Você pode fazer backup de senhas para o Microsoft Entra ID com uma licença Microsoft Entra ID Free ou superior.

Outras funcionalidades do Microsoft Entra ID ou Microsoft Intune podem ter outros requisitos de licenciamento.

Enviar comentários sobre o Windows LAPS

Quer enviar-nos comentários? Para submeter perguntas específicas do documento, utilize os links de feedback no final desta página.

Também pode enviar comentários e outros pedidos na página da Comunidade Técnica comentários sobre o Windows LAPS.

Se o seu feedback for específico para a funcionalidade LAPS relacionada com Microsoft Entra ID ou Intune, envie feedback através do fórum de feedback Microsoft Entra.

Se você não tiver certeza para onde seu feedback deve ir, envie-o usando qualquer uma dessas opções.

Conteúdo relacionado

  • Última atualização a