Grup Tarafından Yönetilen Hizmet Hesapları
Yönetilen Hizmet Hesapları (MSA), hizmet hesaplarının parolalarını otomatik olarak yönetmek (değiştirmek) için Windows Server 2008 R2'de tanıtıldı. MSA kullanarak, sistem hizmetlerini çalıştıran sistem hesaplarının tehlikeye atılma riskini önemli ölçüde azaltabilirsiniz. MSA'nın bu tür hizmet hesabının yalnızca bir bilgisayarda kullanılması olan büyük bir sorunu vardır. Bu, MSA Hizmet Hesaplarının aynı anda birden çok sunucuda çalışan ve aynı hesabı ve parolayı kullanan küme veya NLB hizmetleriyle çalışamayacağı anlamına gelir. Microsoft bunu düzeltmek için şu özelliği ekledi:Group Managed Service Accounts (gMSA) Windows Server 2012'ye.
Bir gMSA oluşturmak için aşağıda verilen adımları izlemeliyiz -
Step 1- KDS Kök Anahtarını oluşturun. Bu, DC'deki KDS hizmeti tarafından parola oluşturmak için kullanılır.
Anahtarı hemen test ortamında kullanmak için PowerShell komutunu çalıştırabilirsiniz -
Add-KdsRootKey –EffectiveTime ((get-date).addhours(-10))Başarıyla oluşturup oluşturmadığını kontrol etmek için PowerShell komutunu çalıştırıyoruz -
Get-KdsRootKeyStep 2 - gMSA oluşturmak ve yapılandırmak için → Powershell terminalini açın ve yazın -
Yeni - ADServiceAccount - ad gmsa1 - DNSHostNamedc1.example.com - PrincipalsAllowedToRetrieveManagedPassword "gmsa1Group"
İçinde
gmsa1 oluşturulacak gMSA hesabının adıdır.
dc1.example.com DNS sunucusu adıdır.
gmsa1Groupkullanılması gereken tüm sistemleri içeren aktif dizin grubudur. Bu grup daha önce Gruplarda oluşturulmalıdır.
Kontrol etmek için → Sunucu Yöneticisi → Araçlar → Active Directory Kullanıcıları ve Bilgisayarları → Yönetilen Hizmet Hesapları seçeneğine gidin.
Step 3 - Bir sunucuya gMA'lar yüklemek için → PowerShell terminalini açın ve aşağıdaki komutları yazın -
- Kurulum - ADServiceAccount - Kimlik gmsa1
- Test - ADServiceAccount gmsa1
Aşağıda verilen ekran görüntüsünde gösterildiği gibi, ikinci komutu çalıştırdıktan sonra sonuç "True" gelmelidir.
Step 4 - Hizmet özelliklerine gidin, hizmetin bir gMSA account. İçindeThis account kutusu Log onsekmesi hizmet hesabının adını yazın. Adın sonunda sembol kullanın$, şifrenin belirtilmesine gerek yoktur. Değişiklikler kaydedildikten sonra hizmetin yeniden başlatılması gerekir.
Hesap, "Log On as a Service" alacak ve şifre otomatik olarak alınacaktır.