グループマネージドサービスアカウント

マネージドサービスアカウント（MSA）は、サービスアカウントのパスワードを自動的に管理（変更）するためにWindows Server 2008R2で導入されました。MSAを使用すると、システムサービスを実行しているシステムアカウントが危険にさらされるリスクを大幅に減らすことができます。MSAには、1台のコンピューターでのみこのようなサービスアカウントを使用するという大きな問題が1つあります。これは、MSAサービスアカウントが、複数のサーバーで同時に動作し、同じアカウントとパスワードを使用するクラスターまたはNLBサービスと連携できないことを意味します。これを修正するために、Microsoftはの機能を追加しましたGroup Managed Service Accounts (gMSA) Windows Server2012へ。

gMSAを作成するには、以下の手順に従う必要があります-

Step 1−KDSルートキーを作成します。これは、DC上のKDSサービスがパスワードを生成するために使用します。

テスト環境でキーをすぐに使用するには、PowerShellコマンドを実行できます-

Add-KdsRootKey –EffectiveTime ((get-date).addhours(-10))

正常に作成されるかどうかを確認するには、PowerShellコマンドを実行します-

Get-KdsRootKey

Step 2 − gMSAを作成および構成するには→Powershellターミナルを開き、次のように入力します−

新規– ADServiceAccount –名前gmsa1 – DNSHostNamedc1.example.com – PrincipalsAllowedToRetrieveManagedPassword "gmsa1Group"

その中で、

gmsa1 作成するgMSAアカウントの名前です。
dc1.example.com DNSサーバー名です。
gmsa1Groupは、使用する必要のあるすべてのシステムを含むActiveDirectoryグループです。このグループは、前にグループで作成する必要があります。

これを確認するには、→サーバーマネージャー→ツール→ActiveDirectoryユーザーとコンピューター→マネージドサービスアカウントに移動します。

Step 3 −サーバーにgMAをインストールするには→PowerShellターミナルを開き、次のコマンドを入力します−

インストール-ADServiceAccount– Identity gmsa1
テスト-ADServiceAccountgmsa1

以下のスクリーンショットに示すように、2番目のコマンドを実行すると、結果は「True」になります。

Step 4 −サービスのプロパティに移動し、サービスがで実行されることを指定します gMSA account。の中にThis account のボックス Log onタブにサービスアカウントの名前を入力します。名前の最後に記号を使用$、パスワードを指定する必要はありません。変更を保存した後、サービスを再起動する必要があります。

アカウントは「サービスとしてログオン」を取得し、パスワードは自動的に取得されます。