> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/pt/ugd-management/user-and-group-settings/additional-settings.md).
# Políticas RealmJoin disponíveis
Referência das definições e políticas disponíveis do RealmJoin Client configuráveis por utilizador ou grupo.
O artigo seguinte mostra uma lista de possíveis definições/políticas do cliente RealmJoin. Estas podem ser configuradas e atribuídas por [utilizador ou grupo](/pt/ugd-management/user-group-device-management.md).
Cada definição consiste numa **chave** e um **valor**:
* A chave é um caminho separado por pontos (por exemplo `Integration.Notification`). O RealmJoin mescla o valor na configuração do cliente nesse caminho, sobre os [padrões de todo o Tenant](/pt/ugd-management/user-and-group-settings.md#tenant-default-values).
* O valor deve ser JSON válido — incluindo valores simples como `true` ou `"release"` (entre aspas, sem parênteses).
{% hint style="info" %}
Um valor de `undefined` **remove** a chave da configuração efetiva. Use isto para eliminar um valor que um âmbito mais amplo (configuração do cliente em todo o Tenant ou "RealmJoin - All Users") definiu, em vez de o substituir por um valor diferente.
{% endhint %}
{% hint style="info" %}
As chaves `Allow.*`, `Restrict.*` e `SoftwarePackageOverrides.*` são avaliadas pelo backend do RealmJoin e são removidas da configuração antes de serem enviadas para um dispositivo — nunca chegam ao cliente.
{% endhint %}
### Permitir que os utilizadores acedam ao RealmJoin LAPS para os seus dispositivos
Os utilizadores podem aceder a diferentes tipos de LAPS para dispositivos de que são proprietários visitando o portal RealmJoin.
**Chave**
Allow\.SelfLAPS
**Valor**
```
true | false
```
ou por tipo de conta
```
{
"EmergencyAccount": true,
"SupportAccount": true,
"PrivilegedAccount": true
}
```
Consulte [Local Admin Password Solution (LAPS)](/pt/agente-realmjoin/realmjoin-client/local-admin-password-solution-laps.md#enable-self-service) para a descrição completa do autosserviço.
{% hint style="info" %}
`Allow.*` as definições não seguem a precedência habitual de "o âmbito mais restrito vence". Todos os valores atribuídos ao utilizador e aos seus grupos são combinados, e um `false` vence sempre sobre qualquer `true`.
{% endhint %}
{% hint style="warning" %}
`Allow.*` e `Restrict.*` são resolvidas com base nas **afiliações do utilizador aos grupos do Entra ID**. A atribuição ao grupo integrado "RealmJoin - All Users" não tem efeito — use um grupo real do Entra ID ou atribua-as diretamente ao utilizador.
{% endhint %}
### Permitir que os utilizadores acedam ao Intune LAPS para os seus dispositivos
Os utilizadores podem aceder e rodar a palavra-passe LAPS dos seus dispositivos.
**Chave**
Allow\.SelfLAPSIntune
**Valor**
```
true | false
```
ou especificamente:
```
{
"CanReadPassword": true,
"CanRotatePassword": false
}
```
A partir de **Portal v2026.29**, o acesso pode ser delimitado **por plataforma** (Windows/macOS). Uma propriedade específica da plataforma substitui a genérica `CanReadPassword`/`CanRotatePassword` para a plataforma de dispositivo correspondente:
```
{
"CanReadPasswordWindows": true,
"CanRotatePasswordWindows": true,
"CanReadPasswordMacOS": true,
"CanRotatePasswordMacOS": false
}
```
Um valor de string simples comporta-se como `true` apenas para a plataforma correspondente:
```
"windows"|"macos"
```
O acesso é concedido apenas ao utilizador principal do dispositivo ou ao proprietário registado. Tal como com `Allow.SelfLAPS`, todos os valores atribuídos são combinados e um `false` vence sobre qualquer `true`.
### Configurar BranchCache para pacotes RJ
Esta definição altera o modo BranchCache para **novos** clientes.
**Chave**\
BranchCache.Mode
**Valor**
```
"Distributed"|"Undefined"
```
### Configurar DomainConnect para domínios legados
As definições seguintes configuram o DomainConnect para domínios legados.
**Chave**\
DomainConnect.CredentialName
**Valor**
```
"RealmJoin (domain)"
```
**Chave**\
DomainConnect.Domain
**Valor**
```
"domain.contoso.net"
```
**Chave**\
DomainConnect.NetBIOS
**Valor**
```
"contoso"
```
### Configurar o canal de lançamento do RealmJoin
Esta definição altera o canal do utilizador / grupo de utilizadores com a próxima atualização do Cliente RealmJoin.
**Chave**\
Environment.Channel
**Valor**
```
"release" | "beta" | "canary"
```
{% hint style="info" %}
Esta definição é ignorada em clientes VDI partilhados — eles permanecem sempre no canal da respetiva imagem.
{% endhint %}
### Configurar o RealmJoin ESP
Altere se o reinício padrão ocorrer após a instalação inicial do agente RealmJoin.
**Chave**
FirstRun.AfterSuccessAction
**Valor**
```
"none" | "logoff" | "restart"
```
Altere se o ESP do RJ é apresentado.
Se o ecrã de implementação precisar de ser desativado para utilizadores secundários, a variável de sistema *$env:RjDisableSecondaryInitialDeployment = 1* tem de ser definida antes do primeiro início de sessão do SU.
**Chave**
FirstRun.DisableDeploymentScreen
**Valor**
```
"true" | "false"
```
Mostrar o ecrã de implementação em ambiente de trabalho restrito ou seguro.
**Chave**
FirstRun.EnableSecureDesktop
**Valor**
```
"true" | "false"
```
### Permitir downgrade de pacotes
Permite o downgrade de aplicações já instaladas através da atualização automática, se o número da versão for alterado. Aplica-se a todos os pacotes atribuídos a utilizadores que recebem a política via definições de grupo ou de utilizador.
**Chave**
SoftwarePackaging.AutoUpgradeCanDowngrade
**Valor**
```
"true" | "false"
```
### Substituição global do comportamento dos pacotes de software
Estas definições destinam-se principalmente a utilizadores de Deployment/DEM em dispositivos partilhados. São aplicadas a **todos os** pacotes de software atribuídos ao utilizador recetor.
Força o sinalizador de instalação em segundo plano em cada pacote.
**Chave**
SoftwarePackageOverrides.AllowBackgroundInstall
**Valor**
```
true | false
```
Ignora a parte de fase das [restrições da aplicação principal / do utilizador](/pt/gestao-de-aplicacoes/packages/package-settings.md) (Logon, Manual, Initial, Normal) de cada pacote.
**Chave**
SoftwarePackageOverrides.IgnorePhaseRestrictions
**Valor**
```
true
```
Ignora a parte de utilizador principal/secundário dessas restrições de cada pacote.
**Chave**
SoftwarePackageOverrides.IgnoreUserRestrictions
**Valor**
```
true
```
{% hint style="info" %}
`IgnorePhaseRestrictions` e `IgnoreUserRestrictions` só têm efeito quando definidos para `true`; `false` é o mesmo que não os definir de todo. As restrições só podem ser removidas desta forma, nunca adicionadas.
Quando o utilizador principal do dispositivo é um utilizador de deployment (DEM), estas substituições também se aplicam aos pacotes que os utilizadores secundários herdam desse utilizador de deployment.
{% endhint %}
### Funcionalidade AnyDesk
Esta definição ativa ou desativa a [funcionalidade AnyDesk](/pt/agente-realmjoin/realmjoin-client/anydesk-integration.md).
**Chave**\
Integration.AnyDesk
**Valor**
```json
{
"Enabled": true | false,
"BootstrapperUrl": "https://.../.../AnyDesk.exe",
"CustomClientSuffix": "myorg",
"Ui": {
"TrayMenuTextEnglish": "Start remote session"
}
}
```
* **Ativado:** Liga ou desliga a integração do AnyDesk.
* **BootstrapperUrl:** Localização de download do cliente AnyDesk usado pela integração.
* **CustomClientSuffix:** Sufixo do seu cliente AnyDesk personalizado. É usado para construir a `anydesk:` ligação que o Portal RealmJoin abre ao iniciar uma sessão. Omitir quando usar o cliente genérico.
* **Ui.TrayMenuTextEnglish:** Legenda da entrada no menu da bandeja do RealmJoin. Por predefinição, `"Start remote session"`.
### Funcionalidade ExecutionMonitor
Esta definição ativa ou desativa a funcionalidade ExecutionMonitor.
**Chave**\
Integration.ExecutionMonitor
**Valor**
```json
{
"Enabled": true | false,
"UpdateInterval": "08:00"
}
```
### Funcionalidade Notifier
Esta definição ativa ou desativa a [funcionalidade Notifier](/pt/agente-realmjoin/realmjoin-client/showing-notifications.md) e também ativa ou desativa a interface de edição.
**Chave**\
Integration.Notification
**Valor**
```json
{
"Enabled": true | false,
"SourceUrl": "URL_PROVIDED_BY_GK",
"FallbackCulture": "en",
"CheckInterval": "00:01"
}
```
* **Ativado:** Liga ou desliga o Notifier.
* **SourceUrl:** Localização das definições de notificação. Este valor é criado pelo RealmJoin quando a funcionalidade é ativada para o seu Tenant — não o altere.
* **FallbackCulture:** Idioma usado quando uma notificação não tem conteúdo para o idioma do utilizador. Por predefinição, `"en"`.
* **CheckInterval:** Com que frequência o cliente verifica novas notificações ([HH:mm](https://learn.microsoft.com/en-us/dotnet/standard/base-types/standard-timespan-format-strings)). Por predefinição, `"00:01"`.
### Funcionalidades LocalAdminManagement
Esta secção mostra todas as definições necessárias para as funcionalidades LocalAdminManagement. Para mais detalhes sobre esta funcionalidade, leia o [artigo sobre a Local Admin Password Solution](/pt/agente-realmjoin/realmjoin-client/local-admin-password-solution-laps.md).
**Chave**\
LocalAdminManagement.Inactive
**Valor**
```
false
```
**Chave**\
LocalAdminManagement.CheckInterval
**Valor**
```
"00:05"
```
**Chave**\
LocalAdminManagement.EmergencyAccount
**Valor**
```json
{
"MaxStaleness": "00:45",
"NamePattern": "ADM-{HEX:4}",
"DisplayName": "Local Emergency Account",
"PasswordCharSet": "1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz",
"PasswordLength": 14
}
```
**Chave**\
LocalAdminManagement.SupportAccount
**Valor**
```json
{
"MaxStaleness": "00:45",
"NamePattern": "ADM-{HEX:4}",
"DisplayName": "Local Support Administrator",
"PasswordCharSet": "1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz",
"PasswordLength": 14,
"OnDemand": true | false
}
```
**Chave**\
LocalAdminManagement.PrivilegedAccount
**Valor**
```json
{
"NamePattern": "Privileged-User-{COUNT:1}",
"DisplayName": "Privileged User",
"PasswordRenewals": ["DayAfterCreate", "Monthly", "Thursday"],
"PasswordPreset": 3,
"PasswordLength": 3
}
```
{% hint style="info" %}
Os três tipos de conta partilham as mesmas propriedades comuns (`NamePattern`, `DisplayName`, `PasswordCharSet`, `PasswordLength`, `PasswordPreset`, `MaxStaleness`). `OnDemand` e `Expiration` são específicas da conta de suporte, `Expiration` e `PasswordRenewals` da conta privilegiada. Um tipo de conta que não esteja configurado de todo permanece inativo. O [artigo LAPS](/pt/agente-realmjoin/realmjoin-client/local-admin-password-solution-laps.md) descreve cada propriedade, os valores predefinidos e os presets de palavra-passe em detalhe.
{% endhint %}
### Funcionalidade AppCatalog
Esta definição controla o acesso nativo, com um clique, ao [App Catalog](/pt/agente-realmjoin/client-menu/self-service-portal.md#app-catalog-tab) a partir do menu da bandeja do RealmJoin e do Menu Iniciar do Windows.
**Chave**\
AppCatalog
**Valor**
```json
{
"Enabled": true | false,
"HidePackages": true | false,
"CreateStartMenuShortcut": true | false,
"Ui": {
"DisplayName": "App Catalog"
}
}
```
* **Ativado:** Adiciona uma **App Catalog** entrada ao menu da bandeja do RealmJoin que abre a página App Catalog do dispositivo no modo de aplicação do Microsoft Edge.
* **HidePackages:** Oculta os pacotes de software individuais do submenu clássico "Install"/"Update" da bandeja, útil quando os utilizadores passam a ser direcionados para o App Catalog.
* **CreateStartMenuShortcut:** Requer `Enabled: true`. Cria um atalho no Menu Iniciar por utilizador ("App Catalog") que abre a mesma página, para que possa ser encontrado através da pesquisa do Iniciar ou afixado na barra de tarefas.
* **Ui.DisplayName:** Legenda da entrada do App Catalog no menu da bandeja do RealmJoin. O mesmo texto também é usado para o atalho do Menu Iniciar criado por `CreateStartMenuShortcut`. Por predefinição, `"App Catalog"`.
### Pedido de Protocolo do Edge para o App Catalog
O App Catalog é executado numa janela de aplicação do Microsoft Edge, e cada ligação de instalação nele é um `realmjoin:` URL. A menos que o `realmjoin` protocolo seja permitido para a origem do portal, o primeiro clique mostra a caixa de diálogo de protocolo externo do Edge ("Este site está a tentar abrir…"). O protocolo é permitido com a política do Edge [`AutoLaunchProtocolsFromOrigins`](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-policies#autolaunchprotocolsfromorigins). Ou o seu Tenant adiciona uma `realmjoin` entrada ao valor que já gere, ou o agente RealmJoin escreve a entrada na hive de registo do utilizador.
**Chave**\
Policies.EdgeAllowRealmJoinProtocol
**Valor**
```
true | false
```
{% hint style="danger" %}
**Escolha um caminho, nunca ambos.** Ou o seu Tenant gere `AutoLaunchProtocolsFromOrigins` por si só, ou o RealmJoin faz isso com esta definição. A política tem apenas um proprietário por dispositivo, e dois proprietários sobrescrevem-se mutuamente.
{% endhint %}
#### Como o Edge avalia a política
A política é um único valor JSON por hive de registo, em `SOFTWARE\Policies\Microsoft\Edge\AutoLaunchProtocolsFromOrigins` em `HKLM` ou `HKCU`. Não pode ser construída a partir de várias fontes:
* **A máquina vence o utilizador, como um todo.** O Edge usa o valor da máquina em vez do valor do utilizador; as duas listas nunca são fundidas. Um valor da máquina desativa silenciosamente tudo o que estiver definido por utilizador.
* **Intune** aplica a definição como uma política suportada por ADMX (Catálogo de Definições: *Microsoft Edge > Permitir que sites específicos iniciem protocolos externos*). O cliente MDM reescreve todo o valor em cada sincronização, pelo que qualquer coisa adicionada por outra parte desaparece após o próximo check-in.
* **Dois perfis Intune** que configuram esta definição entram em conflito entre si. O resultado no dispositivo não é determinístico.
#### Caminho 1: o seu Tenant gere políticas do Edge
Adicione o `realmjoin` protocolo ao **único** perfil existente que define `AutoLaunchProtocolsFromOrigins`, no âmbito (dispositivo ou utilizador) em que esse perfil reside, junto aos protocolos que já permite:
```json
[
{ "protocol": "realmjoin", "allowed_origins": ["realmjoin.com"] },
{ "protocol": "msteams", "allowed_origins": ["teams.microsoft.com", "teams.cloud.microsoft"] }
]
```
Não crie um segundo perfil para isso, e não defina `Policies.EdgeAllowRealmJoinProtocol`.
#### Caminho 2: o seu Tenant não gere esta política
Defina `Policies.EdgeAllowRealmJoinProtocol` para `true`. Apenas o valor JSON `true` aderem. Sempre que o agente aplica a sua configuração, o serviço RealmJoin (a correr como SYSTEM) avalia a política para o utilizador em nome de quem a bandeja é executada:
* **Existe um valor da máquina** (por exemplo, um perfil Intune com âmbito de dispositivo ou uma GPO): nada é escrito, porque um valor de utilizador seria ignorado de qualquer forma. O registo do agente indica se o valor da máquina já permite o portal.
* **O valor de utilizador é gerido por MDM**: nada é escrito.
* **Caso contrário** o agente funde o anfitrião do portal no valor do utilizador em `HKCU`. Outros protocolos e origens já presentes nesse valor são mantidos. Se a `realmjoin` entrada já contiver uma origem que abranja o portal (por exemplo `realmjoin.com`), nada é escrito.
Sem a opção, ou seja, com a chave definida para `false`, removida, ou sem qualquer `definição Policies` de todo, o agente remove novamente as suas próprias entradas do valor do utilizador. Desinstalar o agente faz o mesmo.
{% hint style="info" %}
Nenhum dos caminhos é obrigatório. Sem a política, o App Catalog continua a funcionar: o Edge pergunta uma vez por utilizador, e o utilizador pode assinalar "Always allow" a menos que as suas políticas do Edge ocultem essa caixa de verificação.
{% endhint %}
#### Escrever a `realmjoin` entrada corretamente
* O Edge usa apenas a **primeira** entrada cujo `protocolo` corresponde ao esquema do URL, comparado de forma sensível a maiúsculas e minúsculas com o esquema em minúsculas. Uma segunda `realmjoin` entrada é ignorada, e o mesmo acontece com uma escrita `RealmJoin`. Coloque todas as origens permitidas numa única `realmjoin` entrada.
* As origens seguem o formato de filtro da lista de bloqueio de URL do Edge [formato de filtro da lista de bloqueio de URL](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-browser-policies/urlblocklist). O anfitrião simples `realmjoin.com` também abrange `portal.realmjoin.com`, enquanto `.realmjoin.com` (com um ponto inicial) corresponde apenas ao anfitrião exato `realmjoin.com` e, portanto, **não** ao portal.
{% hint style="info" %}
Para verificar o resultado num dispositivo, abra `edge://policy` no Edge. Mostra o valor efetivo, o respetivo âmbito (máquina ou utilizador) e se foi analisado com êxito.
{% endhint %}
### Weblinks para a barra do RealmJoin
A definição seguinte gera uma ligação web na barra.
**Chave**\
WebLinks
**Valor**
```json
[
{
"Nome": "Minha conta Azure",
"Destino": "https://account.activedirectory.windowsazure.com/r/#/profile",
"Plataforma": "qualquer"
},
{
"Nome": "Acesso Web do Outlook",
"Destino": "https://outlook.office365.com/owa/?realm=contoso.onmicrosoft.com",
"Plataforma": "qualquer"
}
]
```
### Restrições de acesso
{% hint style="info" %}
Atualmente, apenas [RealmJoin LAPS](/pt/agente-realmjoin/realmjoin-client/local-admin-password-solution-laps.md) é suportado. O acesso ao Windows LAPS gerido pelo Intune é controlado pelas permissões de função personalizadas `CanSeeDeviceIntuneManagedLapsStatus` e `CanRotateIntuneManagedDeviceLocalCredentials` e não é afetado por esta definição.
{% endhint %}
Atribua esta definição aos grupos dos **proprietários dos dispositivos** que pretende proteger. Em seguida, restringe quais administradores podem usar [LAPS](/pt/agente-realmjoin/realmjoin-client/local-admin-password-solution-laps.md) nos dispositivos desses utilizadores.
A definição também pode ser atribuída a **grupos de dispositivos**. Isto requer a funcionalidade de Tenant *Aplicar Restrict.LAPS a partir de grupos de dispositivos*. A funcionalidade está ativada para todos os tenants integrados a partir da versão 2026.40 do Portal. Para tenants existentes, contacte o suporte do RealmJoin para a ativar. Quando ativada, as regras dos grupos do proprietário do dispositivo e dos grupos do próprio dispositivo são combinadas.
{% hint style="warning" %}
Antes de ativar a funcionalidade para um Tenant existente, verifique os seus grupos de dispositivos em busca de `Restrict.LAPS` definições. Até agora, estas definições não tinham qualquer efeito. Assim que a funcionalidade for ativada, passam a aplicar-se e podem remover o acesso LAPS de alguns administradores.
{% endhint %}
**Chave**\
Restrict.LAPS
Valor
```json
{
"Admin": [
"11-cf35-49dd-a862-123123",
"11-2ec2-47ee-8cb8-123123"
],
"Supporter": [
"23-cf35-49dd-a862-231"
],
"Deny": []
}
```
Cada propriedade contém os IDs de objeto de grupos do Entra ID. Existe uma lista por função RealmJoin:
```
"Admin" | "Auditor" | "Supporter" | "AdvancedSupporter" | "RunbookRunner" |
"SoftwareAgent" | "SoftwareRequester" | "OrganicRequester" | "NotificationAgent" | "Deny"
```
{% hint style="warning" %}
As listas são inclusivas: assim que pelo menos uma lista estiver preenchida, apenas administradores que possuam a função RealmJoin correspondente **e** e sejam membros de um dos grupos listados para essa função podem usar LAPS nestes dispositivos. Todos os outros são recusados.
A associação a um grupo listado em `Deny` nega sempre o acesso, independentemente das outras listas. Os administradores globais nunca são restringidos.
{% endhint %}
Cada função é verificada em relação à sua própria lista. Um administrador só obtém o acesso LAPS das funções cuja lista contém um dos seus grupos. Por exemplo, um administrador que é simultaneamente Admin e Supporter, mas é apenas membro de um grupo listado em `Supporter`, obtém acesso Supporter nestes dispositivos, e não acesso Admin.
{% hint style="info" %}
Antes da versão 2026.40 do Portal, estar listado para qualquer função era suficiente para obter o acesso da função mais elevada do administrador.
{% endhint %}
Funções personalizadas com uma das permissões LAPS (`CanUseDeviceLapsAsAdvancedSupporter`, `CanSeeDeviceLapsAsAuditor`, `CanUseDeviceLapsAsSupporter`) são verificadas em relação à lista da função correspondente: `AdvancedSupporter`, `Auditor` ou `Supporter`. Consulte [Quem pode aceder às contas LAPS](/pt/agente-realmjoin/realmjoin-client/local-admin-password-solution-laps.md#who-can-access-laps-accounts).
### Vários interruptores
Esta secção mostra-lhe quatro políticas para o RealmJoin.
**Chave**\
Policies.DisableNetworkLocationWizard
**Valor**
```
true | false
```
**Chave**\
Policies.RequireSecurityFeatures.BitlockerEnabled
**Valor**
```
true | false
```
**Chave**\
Policies.SetCurrentUserAdministrator
**Valor**
```
true | false
```
**Chave**\
Policies.SetTimeserver
**Valor**
```
["time.windows.com", "time.apple.com", "pool.ntp.org"]
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.realmjoin.com/pt/ugd-management/user-and-group-settings/additional-settings.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.