Como corrigir erro de permissão de descriptografia de senha da conta do Windows LAPS

Depois de implementar o Windows LAPS, alguns administradores podem ver o nome e a senha da conta de administrador local do LAPS, enquanto outros veem ambos os campos vazios. Por que isso está acontecendo e qual é a solução para isso? Neste artigo, você aprenderá como corrigir erro de permissão de descriptografia de senha da conta LAPS do Windows.

Você não tem permissão para descriptografar a senha da conta

Vejamos o erro que aparece.

ComeçarUsuários e computadores do Active Directorye vá para as propriedades do computador para o qual deseja recuperar a senha LAPS. Clique noVOLTASguia.

O aviso aparece:

A senha da conta está criptografada, mas você não tem permissão para descriptografá-la.

Os campos nome da conta do administrador local do LAPS e senha da conta do administrador local do LAPS estão vazios. No entanto, queremos ver ambos os campos preenchidos.

Por que isso está acontecendo e como corrigir a mensagem de aviso A senha da conta está criptografada, mas você não tem permissão para descriptografá-la?

Se você configurar o Windows LAPS e entrar com uma conta com permissões de administrador de domínio, não verá esse aviso.

O aviso aparece porque a conta de usuário conectada para recuperar o nome e a senha da conta de administrador local do LAPS não é um administrador de domínio. Por exemplo, os usuários da equipe de suporte técnico não têm permissões de administrador de domínio atribuídas.

Para corrigir este aviso, temos que criar um grupo de segurança com todos os seus membros. Em seguida, defina as permissões de leitura e redefinição do LAPS para esse grupo de segurança. Por último, adicione o grupo à política de decodificadores de senha autorizados do Windows LAPS.

Passo 1. Crie um grupo de segurança

Crie um grupo de segurança emUsuários e computadores do Active Directory.

Adicione os membros ao grupo. Além disso, adicione os administradores do domínio, pois esse grupo será o único capaz de ler e redefinir a senha do LAPS.

Etapa 2. Obtenha o SID do grupo de segurança

Encontre o SID do grupo de segurança com o PowerShell.

Get-ADGroup "Windows_LAPS"

A saída aparece com o SID do grupo.

DistinguishedName : CN=Windows_LAPS,OU=AD,OU=Groups,OU=Company,DC=exoip,DC=local
GroupCategory     : Security
GroupScope        : Universal
Name              : Windows_LAPS
ObjectClass       : group
ObjectGUID        : 05c3f8a0-4f46-4441-ab41-796538b45a82
SamAccountName    : Windows_LAPS
SID               : S-1-5-21-1083891243-2317051905-4228426097-3278

Copie o valor SID do grupo de segurança; você precisará usá-lo nas próximas etapas.

Etapa 3. Definir permissões LAPS

Substitua o SID do grupo de segurança em ambos os comandos e execute-o no PowerShell.

OSet-LapsADReadPasswordPermissioncmdlet concederá ao grupo permissão para consultar senhas do Windows Local Administrator Password Solution (LAPS).

Set-LapsADReadPasswordPermission -Identity "OU=Company,DC=exoip,DC=local" -AllowedPrincipals @("S-1-5-21-1083891243-2317051905-4228426097-3278")

OSet-LapsADResetPasswordPermissioncmdlet concederá ao grupo permissão para definir o tempo de expiração da senha do Windows Local Administrator Password Solution (LAPS).

Set-LapsADResetPasswordPermission -Identity "OU=Company,DC=exoip,DC=local" -AllowedPrincipals @("S-1-5-21-1083891243-2317051905-4228426097-3278")

AbrirGerenciamento de Política de Grupo.

Navegue atéConfiguração do computador>Políticas>Modelos Administrativos>Sistema>VOLTAS.

Adicione o SID do grupo de segurança ao campo Descriptografador de senha autorizado.

Em nosso exemplo, é:

RELACIONADO:Como gravar reuniões com zoom sem permissão

S-1-5-21-1083891243-2317051905-4228426097-3278

Etapa 5. Verifique seu trabalho

Importante:Saia e entre novamente no servidor de gerenciamento ou no controlador de domínio para que as configurações de permissão entrem em vigor.

ComeçarUsuários e computadores do Active Directory. Vá para as propriedades do computador e clique no botãoVOLTASguia. O erro não aparece mais e o nome da conta do administrador local do LAPS e os valores de senha aparecem.

É isso!

Conclusão

Você aprendeu como consertar a senha da conta criptografada, mas você não tem permissão para descriptografá-la. Primeiro, crie um grupo de segurança e adicione todos os usuários que deverão poder ver e redefinir a senha do LAPS. Depois disso, configure o descriptografador de senha autorizado da política de grupo LAPS e adicione o grupo a ele. Lembre-se de sair e entrar novamente para que as permissões entrem em vigor.

Você gostou deste artigo? Você também pode gostar de Como criar um relatório de avaliação de segurança do Active Directory. Não se esqueça de nos seguir e compartilhar este artigo.