LAPS Configurar el directorio de copia de seguridad de contraseñas Use esta opción para configurar el directorio en el que se realiza la copia de seguridad de la contraseña de la cuenta de administrador local. La configuración permitida es: 0=Deshabilitado (no se realizará una copia de seguridad de la contraseña) 1=Hacer una copia de seguridad de la contraseña para Azure Active Directory 2=Hacer una copia de seguridad de la contraseña para Active Directory Si no se especifica, esta configuración se establece de forma predeterminada en 0 (Deshabilitada). Si esta opción está configurada en 1 y el dispositivo administrado no está unido a Azure Active Directory, no se administrará la contraseña del administrador local. Si esta opción está configurada en 2 y el dispositivo administrado no está unido a Active Directory, no se administrará la contraseña del administrador local. Si esta opción está deshabilitada o no está configurada, no se administrará la contraseña del administrador local. Consulte https://go.microsoft.com/fwlink/?linkid=2188435 para obtener más información. Deshabilitado Azure Active Directory Active Directory Configuración de contraseña Configura parámetros de contraseña Complejidad de la contraseña: los caracteres que se usan al generar una nueva contraseña Valor predeterminado: letras mayúsculas + letras minúsculas + números + caracteres especiales Longitud de la contraseña Mínimo: 8 caracteres Máximo: 64 caracteres Valor predeterminado: 14 caracteres Antigüedad de la contraseña en días Mínimo: 1 día (7 días cuando el directorio de copia de seguridad está configurado para ser Azure AD) Máximo: 365 días Valor predeterminado: 30 días Consulta https://go.microsoft.com/fwlink/?linkid=2188435 para más información. Letras mayúsculas Letras mayúsculas y minúsculas Letras mayúsculas + letras minúsculas + números Letras mayúsculas + letras minúsculas + números + caracteres especiales Nombre de la cuenta de administrador que se va a administrar Esta configuración de directiva especifica un nombre de cuenta de administrador personalizado para el que administrar la contraseña. Si se habilita esta configuración de directiva, LAPS administrará la contraseña de una cuenta local con este nombre. Si esta configuración de directiva está deshabilitada o no está configurada, LAPS administrará la contraseña de la cuenta de administrador conocida. NO habilite esta configuración de directiva para administrar la cuenta de administrador integrada. El SID conocido detecta automáticamente la cuenta de administrador integrada y no depende del nombre de la cuenta. Consulte https://go.microsoft.com/fwlink/?linkid=2188435 para obtener más información. No permitir que el tiempo de expiración de la contraseña sea superior al requerido por la directiva Si esta configuración está habilitada o no está configurada, la expiración de la contraseña planeada supera la antigüedad de la contraseña dictada por la directiva "Configuración de contraseña" NO se permite. Cuando se detecta dicha expiración, la contraseña se cambia inmediatamente y se establece de acuerdo con la directiva. Si se deshabilita esta configuración, la hora de expiración de la contraseña puede ser superior a la requerida por la directiva "Configuración de contraseña". Consulte https://go.microsoft.com/fwlink/?linkid=2188435 para obtener más información. Habilitar cifrado de contraseña Al habilitar esta configuración, la contraseña administrada se cifra antes de enviarse a Active Directory. La habilitación de esta configuración no surte efecto a menos que 1) se haya configurado la copia de seguridad de la contraseña en Active Directory y 2) el nivel funcional del dominio Active Directory esté en Windows Server 2016 o superior. Si esta configuración está habilitada y el nivel funcional del dominio es igual o superior a Windows Server 2016, la contraseña de la cuenta administrada se cifra. Si esta configuración está habilitada y el nivel funcional del dominio es inferior a Windows Server 2016, no se realiza una copia de seguridad de la contraseña de la cuenta administrada en el directorio. Si esta configuración está deshabilitada, la contraseña de la cuenta administrada no se cifra. Esta configuración se habilitará de forma predeterminada si no se configura. Consulte https://go.microsoft.com/fwlink/?linkid=2188435 para obtener más información. Configurar descifradores de contraseñas autorizados Configura esta opción para controlar el usuario o grupo específico autorizado a descifrar contraseñas cifradas. La configuración de esta opción no tiene efecto a menos que se habilite el cifrado de contraseñas. Si esta configuración está habilitada, el grupo especificado podrá descifrar las contraseñas cifradas. Si esta opción está deshabilitada o no está configurada, el grupo Administradores de dominio podrá descifrar las contraseñas cifradas. Esta opción debe configurarse con un SID en formato de cadena ("S-1-5-21-2127521184-1604012920-1887927527-35197") o con el nombre de un grupo o usuario con el formato "dominio\(grupo o usuario)". El dispositivo administrado debe poder resolver el usuario o grupo especificado; de lo contrario, no se realizará una copia de seguridad de las contraseñas. Consulta https://go.microsoft.com/fwlink/?linkid=2188435 para más información. Configurar el tamaño del historial de contraseñas cifradas Usa esta opción para configurar cuántas contraseñas cifradas anteriores se almacenarán en Active Directory. La configuración de esta opción no surte efecto a menos que 1) se haya configurado la contraseña para que se haga copia de seguridad en Active Directory y 2) se haya habilitado el cifrado de contraseñas. Si se habilita esta configuración, el número especificado de contraseñas antiguas se almacenará en Active Directory. Si esta opción está deshabilitada o no está configurada, no se almacenarán contraseñas anteriores en Active Directory. Esta configuración tiene un valor mínimo permitido de 0 contraseñas. Esta configuración tiene un valor máximo permitido de 12 contraseñas. Consulta https://go.microsoft.com/fwlink/?linkid=2188435 para más información. Habilitar la copia de seguridad de contraseñas para las cuentas de DSRM Al habilitar esta configuración, se administrará la contraseña de la cuenta de administrador de DSRM y se realizará una copia de seguridad de ella en Active Directory. La habilitación de esta configuración no tiene efecto a menos que el dispositivo administrado sea un controlador de dominio y el cifrado de contraseña también esté habilitado. Si se habilita esta configuración, se realizará una copia de seguridad de la contraseña de la cuenta de administrador de DSRM en el controlador de dominio en Active Directory. Si esta opción está deshabilitada o no está configurada, no se realizará una copia de seguridad de la contraseña de la cuenta de administrador de DSRM en el controlador de dominio en Active Directory. Consulte https://go.microsoft.com/fwlink/?linkid=2188435 para obtener más información. Acciones posteriores a la autenticación Esta directiva configura acciones posteriores a la autenticación que se ejecutarán después de detectar una autenticación por parte de la cuenta administrada. Período de gracia: especifica la cantidad de tiempo (en horas) que se esperará después de una autenticación antes de ejecutar las acciones posteriores a la autenticación especificadas. Si esta configuración está habilitada y es mayor que cero, las acciones posteriores a la autenticación especificadas se ejecutarán al expirar el período de gracia. Si esta opción está deshabilitada o no está configurada, las acciones posteriores a la autenticación especificadas se ejecutarán después de un período de gracia predeterminado de 24 horas. Si esta configuración es igual a cero, no se ejecutará ninguna acción posterior a la autenticación. Acciones: especifica las acciones que se realizarán al expirar el período de gracia. Restablecer contraseña: cuando expire el período de gracia, se restablecerá la contraseña de la cuenta administrada. Restablecer la contraseña y cerrar la sesión de la cuenta administrada: una vez expirado el período de gracia, se restablecerá la contraseña de la cuenta administrada y finalizarán las sesiones interactivas que usen la cuenta administrada. (NOTA: una vez finalizadas las sesiones interactivas, es posible que la cuenta administrada siga usando otras sesiones autenticadas. La única forma sólida de asegurarse de que la contraseña anterior ya no está en uso es reiniciar el dispositivo). Restablecer la contraseña y reiniciar: una vez expirado el período de gracia, se restablecerá la contraseña de la cuenta administrada y el dispositivo administrado se reiniciará inmediatamente. Si esta opción está deshabilitada o no está configurada, las acciones posteriores a la autenticación se establecerán de forma predeterminada en "Restablecer la contraseña y cerrar la sesión de la cuenta administrada". Nota: no se puede configurar la cuenta DSRM en controladores de dominio para acciones posteriores a la autenticación. Esta directiva no tiene efecto en los controladores de dominio y se omitirá incluso si está configurada para un controlador de dominio. Consulta https://go.microsoft.com/fwlink/?linkid=2188435 para obtener más información. Deshabilitado: no realizar ninguna acción Restablecer la contraseña Restablecer la contraseña y cerrar la sesión de la cuenta administrada Restablecer la contraseña y reiniciar el dispositivo Como mínimo, Microsoft Windows 10 o versiones posteriores Directorio de copia de seguridad Complejidad de la contraseña Longitud de la contraseña Antigüedad de la contraseña (días) Tamaño del historial de contraseñas cifradas Período de gracia (horas): Acciones: