que esteja no mesmo site do Active Directory que o computador que detem a funcao de mestre de esquema para a floresta. O LAPS requer que o .NET Framework 4.0 e o Windows PowerShell 2.0 ou posterior estejam instalados nos computadores para os quais gerenciara as senhas do administrador local. O processo LAPS ocorre cada vez que as atualizacoes de politicas de grupo ocorrem. Quando e realizado uma atualizacao de politica de grupo, ocorrem as seguintes acoes: 1. LAPS determina se a senha da conta de administrador local expirou. 2. Se a senha nao expirou, o LAPS nao faz nada. 3. Se a senha expirou, o LAPS executa as seguintes etapas: 3.1. Muda a senha de administrador local para um novo valor aleatorio com base nos parametros configurados para senhas de administrador locais. 3.2. Transmite a nova senha para o AD DS, onde e armazenado em um atributo confidencial especial associado a conta de computador do computador que atualizou sua senha da Conta de Administrador local. 3.3. Transmite a nova data de validade da senha para o AD DS, onde e armazenado em um atributo confidencial especial associado a conta de computador do computador que atualizou sua senha de conta de administrador local. A senha pode ser lida no AD DS por usuarios autorizados. Tambem e possivel que o usuario autorizado desencadeie uma mudanca de senha do administrador local em um computador especifico. Existe uma serie de etapas necessarias para se configurar e gerenciar senhas pelo LAPS. O primeiro conjunto de etapas envolve a configuracao do AD DS. Deve-se selecionar uma determinada OU que possua os computadores para que receba a configuracao de atribuicao (Set-AdmPwdComputerSelfPermission). Esta configuracao e aplicada diretamente a OU, atribuindo a capacidade de atualizacao de senhas das contas de administrador local quando houver sua expiracao. Abaixo temos um exemplo do comando para tal atividade: Exemplo: Set-AdmPwdComputerSelfPermission -Identity "RH" Neste exemplo estou habilitando o recurso LAPS dentro da OU RH. Qualquer computador adicionado a esta Unidade Organizacional, recebera automaticamente as configuracoes. Por padrao, as contas que sao membros dos grupos Administradores de Dominio e Administradores da Empresa podem acessar e visualizar senhas armazenadas. Voce usa o cmdlet Set-AdmPwdReadPasswordPermission para fornecer grupos adicionais com a capacidade de visualizar a senha do administrador local. Por exemplo, para atribuir ao grupo RH_ITOps a capacidade de visualizar a senha de administrador local em computadores na OU RH, use o seguinte comando: Exemplo: Set-AdmPwdReadPasswordPermission -Identity "RH" -AllowedPrincipals "RH_ITOps" O proximo passo e executar o instalador para instalar os modelos de GPO no AD DS. Depois de instalar os modelos, voce pode configurar as seguintes politicas: Habilite o gerenciamento local de senha de administrador. Esta politica permitira LAPS e permitira que voce gerencie a senha da conta de administrador local de forma centralizada. Configuracoes de senha. Esta politica permite que voce configure a complexidade, o comprimento e a idade maxima da senha de administrador local. O padrao e que letras maiusculas e minusculas, numeros e caracteres especiais sao usados. O comprimento da senha padrao e de 14 dias e a idade maxima da senha padrao e