Cuentas de servicio administradas por grupos

Las cuentas de servicio administradas (MSA) se introdujeron en Windows Server 2008 R2 para administrar (cambiar) automáticamente las contraseñas de las cuentas de servicio. Con MSA, puede reducir considerablemente el riesgo de que las cuentas del sistema que ejecutan servicios del sistema se vean comprometidas. MSA tiene un problema importante que es el uso de dicha cuenta de servicio solo en una computadora. Significa que las cuentas de servicio de MSA no pueden funcionar con servicios de clúster o NLB, que operan simultáneamente en varios servidores y utilizan la misma cuenta y contraseña. Para solucionar este problema, Microsoft agregó la función deGroup Managed Service Accounts (gMSA) a Windows Server 2012.

Para crear una gMSA, debemos seguir los pasos que se detallan a continuación:

Step 1- Cree la clave raíz de KDS. Esto lo utiliza el servicio KDS en DC para generar contraseñas.

Para usar la clave inmediatamente en el entorno de prueba, puede ejecutar el comando de PowerShell:

Add-KdsRootKey –EffectiveTime ((get-date).addhours(-10))

Para comprobar si se crea correctamente o no, ejecutamos el comando de PowerShell -

Get-KdsRootKey

Step 2 - Para crear y configurar gMSA → Abra el terminal Powershell y escriba -

Nuevo - ADServiceAccount - nombre gmsa1 - DNSHostNamedc1.example.com - PrincipalsAllowedToRetrieveManagedPassword "gmsa1Group"

En el cual,

  • gmsa1 es el nombre de la cuenta gMSA que se creará.

  • dc1.example.com es el nombre del servidor DNS.

  • gmsa1Groupes el grupo de directorio activo que incluye todos los sistemas que deben utilizarse. Este grupo debe crearse antes en los Grupos.

Para comprobarlo, vaya a → Administrador del servidor → Herramientas → Usuarios y equipos de Active Directory → Cuentas de servicio administradas.

Step 3 - Para instalar gMAs en un servidor → abra el terminal de PowerShell y escriba los siguientes comandos -

  • Instalar - ADServiceAccount - Identidad gmsa1
  • Prueba: ADServiceAccount gmsa1

El resultado debería ser "Verdadero" después de ejecutar el segundo comando, como se muestra en la captura de pantalla que se muestra a continuación.

Step 4 - Vaya a las propiedades del servicio, especifique que el servicio se ejecutará con un gMSA account. En elThis account caja en el Log onpestaña escriba el nombre de la cuenta de servicio. Al final del nombre use el símbolo$, no es necesario especificar la contraseña. Una vez guardados los cambios, se debe reiniciar el servicio.

La cuenta obtendrá el "Iniciar sesión como servicio" y la contraseña se recuperará automáticamente.