https://wiki.wingeav.de/index.php?action=history&feed=atom&title=Group_Managed_Service_Account 2026-04-17T16:27:00Z Versionsgeschichte dieser Seite in MyWiki MediaWiki 1.45.3 https://wiki.wingeav.de/index.php?title=Group_Managed_Service_Account&diff=94&oldid=prev 2013-06-11T14:34:07Z

<p>Die Seite wurde neu angelegt: „&#039;&#039;&#039;Hier ein Test zu &quot;Group Managed Service Accounts&quot; (gMSA):&#039;&#039;&#039;&lt;br&gt;gMSA funktionieren leider nur mit Windows 2012 Servern. &lt;br&gt;Windows 2008 R2 Server können nur …“</p> <p><b>Neue Seite</b></p><div>&#039;&#039;&#039;Hier ein Test zu &quot;Group Managed Service Accounts&quot; (gMSA):&#039;&#039;&#039;&lt;br&gt;gMSA funktionieren leider nur mit Windows 2012 Servern. &lt;br&gt;Windows 2008 R2 Server können nur &quot;Managed Service Accounts&quot; (MSA) verwenden.&lt;br&gt;MSA haben gegenüber von gMSA den Nachteil, dass diese Accounts nur auf einem Server gleichzeitig laufen können. D.h. für jeden Server der einen &quot;Managed Service&quot; bekommen soll, muss ein eigener MSA erstellt werden. <br /> <br /> Die Einrichtung eines gMSA ist recht simpel:&lt;br&gt;1. KDS Root Key erstellen&lt;br&gt; Add-KDSRootKey –EffectiveImmediately&lt;br&gt; --&amp;gt; Nun ca. 10 Stunden warten oder folgenden Befehl stattdessen ausführen: Add-KdsRootKey –EffectiveTime ((get-date).addhours(-10)) &lt;br&gt;2. eine AD Sicherheits-Gruppe erstellen und Computer-Konten am Mitglieder hinzufügen, auf denen der gMSA verwendet werden soll&lt;br&gt;3. Rechner der für gMSA verwendet werden soll, neustarten oder warten bis Gruppenmitgliedschaft automatisch erkannt wurde&lt;br&gt;4. gMSA erstellen:&lt;br&gt; New-ADServiceAccount -name &amp;lt;gMSA-Name&amp;gt;&amp;nbsp;-DNSHostName &amp;lt;FQDN&amp;gt; -PrincipalsAllowedToRetrieveManagedPassword &amp;lt;Gruppe die bei 2. angelegt wurde&amp;gt;&lt;br&gt; --&amp;gt; wozu der DNSHostname benötigt wird ist mir nicht ganz klar&lt;br&gt;5. gMSA den benötigten AD-Gruppen hinzufügen, damit er z.B. Berechtigungen auf Fileshares bekommt.&lt;br&gt;6. Dienst für gMSA auswählen und bei Benutzername den gMSA Namen eingeben und mit $-Zeichen abschließen(bsp: mydomain\&amp;lt;gMSA-Name&amp;gt;$)&lt;br&gt; Passwort-Feld leer machen, also kein Passwort eintragen&lt;br&gt;7. Dienst starten <br /> <br /> Auf einigen Internet Seiten liest man, dass der gMSA nach dem Erstellen (4.) noch auf dem Ziel-Rechner installiert werden muss mit &quot;Install-ADServiceAccount -Identity &amp;lt;gMSA-Name&amp;gt;&quot;. &lt;br&gt;Das war bei meinen Tests nicht nötig. <br /> <br /> Scheinbar gibt es ein oder mehrere Features bei deren Vorhandensein ein Windows Dienst mit gMSA sich beim Starten aufhängt (Dienst steht auf &quot;Starting&quot;)&lt;br&gt;Festgestellt habe ich es auf einem Domaincontroller&lt;br&gt;Zum Test habe ich einen anderen Server aufgesetzt und zu einen Domaincontroller in einer neuen Stammdomäne heraufgestuft.&lt;br&gt;Hier ließ sich der gMSA für den Dienststart verwenden.&lt;br&gt;Nachdem ich alle Features identisch zum ersten Domaincontroller installiert habe, funktionierte der gMSA nicht mehr - auch nicht nach entfernen dieser Features.&lt;br&gt;</div>

Rueling