GMSA

gmsa

group Managed Service Account

# Для мгновенного тестирования в тестовой среде:
Add-KdsRootKey -EffectiveTime ((Get-Date).AddHours(-10))

# Или стандартная команда (в продакшене ключ станет активным через 10 часов из-за репликации):
Add-KdsRootKey -EffectiveImmediately

Шаг 2. Создание группы безопасности для серверов

Создайте группу, в которую войдут учетные записи компьютеров (серверов), имеющих право использовать gMSA:

New-ADGroup -Name "gMSA-Servers-Group" -GroupScope Global -GroupCategory Security
Add-ADGroupMember -Identity "gMSA-Servers-Group" -Members "Server1$", "Server2$"

После добавления серверов в группу их нужно перезагрузить, чтобы обновился Kerberos-тикет службы.

Шаг 3. Создание самой учетной записи gMSA

New-ADServiceAccount -Name "gMSA_AppService" `
                     -DNSHostName "gMSA_AppService.domain.local" `
                     -PrincipalsAllowedToRetrieveManagedPassword "gMSA-Servers-Group"

Шаг 4. Установка gMSA на целевом сервере

На каждом сервере из группы выполните команды в PowerShell от имени Администратора:

# Проверка доступности учетной записи
Test-ADServiceAccount -Identity "gMSA_AppService"
# Должно вернуть True

# Установка учетной записи на сервер
Install-ADServiceAccount -Identity "gMSA_AppService"

Шаг 5. Настройка службы или пула IIS

• Для службы Windows (services.msc): В свойствах службы перейдите на вкладку Вход в систему (Log On). Укажите имя учетной записи с знаком $ на конце (например, DOMAIN\gMSA_AppService$), а поля Пароль оставьте пустыми.

• Для IIS App Pool: В параметрах пула укажите тип учетной записи CustomAccount, введите DOMAIN\gMSA_AppService$ и оставьте пароль пустым.