configurada quando e efetuado a implantacao do Windows no computador pela primeira vez, ou e configurado automaticamente quando utilizado ferramentas de implantacao de software, como o Configuration Manager, por exemplo. A conta de administrador local permite que o pessoal das operacoes de TI facam login no computador caso a conectividade nao possa ser estabelecida no dominio. O gerenciamento de senhas para a conta de Administrador local de cada computador ou estacao de trabalho de uma organizacao pode ser uma ardua tarefa, principalmente considerando uma organizacao com cerca de 5000 estacoes de trabalho, significando que existem 5000 contas de Administrador local separadas para gerenciar. O que acaba acontecendo e que as organizacoes atribuem uma unica senha de conta de administrador local comum a todas as contas de administrador locais. A desvantagem desta abordagem e que as pessoas alem da equipe de operacoes de TI geralmente descobrem esta senha e, em seguida, usam para ganhar acesso de Administrador local nao autorizado a computadores em sua organizacao. Em algumas de minhas implementacoes com Windows Server 2012 e 2012 R2, foi utilizado uma GPO que alterava a senha de administrador local de 45 em 45 dias, dificultando a quebra, entretanto ainda assim existe a possibilidade de uma quebra dentro desse periodo. Caso a quebra da senha ocorra dentro desse periodo, o invasor ainda teria acesso a senha de Administrador de qualquer estacao de trabalho. Abaixo temos um exemplo de onde fica localizado a senha da estacao de trabalho ou servidor sob efeito do LAPS. Solucoes de senha de administrador local (LAPS) fornece as organizacoes um repositorio central para senhas de administrador local para maquinas de membros de dominio. Quando implantado, o LAPS fornece os seguintes recursos: As senhas do administrador local sao exclusivas em cada computador gerenciado pelo LAPS. As senhas do administrador local sao aleatorizadas e alteradas regularmente. LAPS armazena senhas e segredos de administrador local de forma segura dentro do AD DS. O acesso a senhas e segredos e controlado por permissoes configuraveis. As senhas recuperadas pelo LAPS sao transmitidas ao cliente de forma segura e criptografada. O LAPS e suportado em todas as versoes x86 ou x64 Windows Client e Windows Server, requerendo nivel funcional de dominio do Active Directory do Windows Server 2003 ou superior e funciona apenas com computadores que sao membros de um dominio do Active Directory (ou seja, nao funciona sem que as estacoes de trabalho estejam no AD). O LAPS precisa ser instalado em um servidor e enviado as estacoes de trabalho atraves de uma agente em formato .MSI. Sera necessario configurar o agente LAPS atraves de uma Extensao lateral do Cliente de Diretiva de Grupo. Voce instala o cliente LAPS usando um arquivo MSI em computadores clientes que voce gerenciara. LAPS requer uma atualizacao para o esquema do Active Directory. Voce executa esta atualizacao executando o cmdlet Update-AdmPwdADSchema, que esta incluido em um modulo PowerShell disponibilizado quando voce instala LAPS em um computador. A pessoa que executa este cmdlet deve ser um membro do grupo Administradores de Esquema e este cmdlet deve ser executado em um computador