保护组托管服务帐户

组托管服务帐户 (gMSA) 是帮助保护服务的域帐户。 gMSA 可以在一台服务器上运行，也可以在服务器场中运行，例如支持网络负载均衡的系统或 Internet Information Services (IIS) 服务器。 将服务配置为使用 gMSA 主体后，帐户密码管理将由 Windows 操作系统 (OS) 处理。

gMSA 的优势

gMSA 是安全性很高的标识解决方案，可帮助降低管理开销：

• 设置强密码 - 240 字节随机生成的密码：gMSA 密码的复杂性和长度最大限度地降低了暴力破解或字典攻击破坏的可能性
• 定期轮换密码 - 密码管理由 Windows OS 负责处理，它将每隔 30 天更改一次密码。 服务和域管理员无需计划密码更改或管理服务中断问题。
• 支持部署到服务器场 - 将 gMSA 部署到多台服务器能够支持多台主机运行同一服务的负载均衡解决方案
• 支持简化的服务主体名称 (SPN) 管理 - 创建帐户时，可以使用 PowerShell 设置 SPN。
  • 另外，如果正确设置了 gMSA 权限，支持自动 SPN 注册的服务可能会对 gMSA 执行此操作。

使用 gMSA

将 gMSA 用作本地服务的帐户类型，除非服务（例如故障转移群集）不支持它。

如果某个服务不支持 gMSA，你可以使用独立的托管服务帐户 (sMSA)。 sMSA 具有相同的功能，但只能部署在单个服务器上。

如果你不能使用你的服务支持的 gMSA 或 sMSA，请将此服务配置为以标准用户帐户的身份运行。 服务和域管理员必须遵守强密码管理流程，以帮助确保帐户安全。

评估 gMSA 安全态势

gMSA 比标准用户帐户更安全，因为它需要进行持续的密码管理。 但是，在安全状况方面，应该考虑到 gMSA 的访问范围。 下表显示了使用 gMSA 的潜在安全问题和缓解措施：

查找 gMSA

托管服务帐户容器

若要有效运行，gMSA 必须位于 Active Directory 用户和计算机的托管服务帐户容器中。

若要查找不包含在列表中的服务 MSA，请运行以下命令：

Get-ADServiceAccount -Filter *

# This PowerShell cmdlet returns managed service accounts (gMSAs and sMSAs). Differentiate by examining the ObjectClass attribute on returned accounts.

# For gMSA accounts, ObjectClass = msDS-GroupManagedServiceAccount

# For sMSA accounts, ObjectClass = msDS-ManagedServiceAccount

# To filter results to only gMSAs:

Get-ADServiceAccount -Filter * | where-object {$_.ObjectClass -eq "msDS-GroupManagedServiceAccount"}

管理 gMSA

若要管理 gMSA，请使用以下 Active Directory PowerShell cmdlet：

Get-ADServiceAccount

Install-ADServiceAccount

New-ADServiceAccount

Remove-ADServiceAccount

Set-ADServiceAccount

Test-ADServiceAccount

Uninstall-ADServiceAccount

迁移到 gMSA

gMSA 是本地使用的安全服务帐户类型。 建议尽可能使用 gMSA。 此外，请考虑将服务迁移到 Azure，将服务帐户迁移到 Microsoft Entra ID。

若要迁移到 gMSA，请执行以下操作：

1. 确保在林中部署密钥分发服务 (KDS) 根密钥。 这是一次性操作。 请参阅创建密钥分发服务 KDS 根密钥。
2. 创建一个新的 gMSA。 请参阅组托管服务帐户入门。
3. 在运行该服务的主机上安装新的 gMSA。
4. 将服务标识更改为 gMSA。
5. 指定空密码。
6. 验证服务是否在新的 gMSA 标识下运行。
7. 删除旧的服务帐户标识。

后续步骤

若要详细了解如何保护服务帐户，请参阅以下文章：

• 本地服务帐户简介
• 保护独立托管服务帐户
• 使用 Active Directory 保护计算机帐户
• 在 Active Directory 中保护基于用户的服务帐户
• 管理本地服务帐户