☰

그룹 관리 서비스 계정: -PrincipalsAllowedToRetrieveManagedPassword

tag-icon • tag-icon active-directory windows-server-2012-r2 managed-service-accounts
그룹 관리 서비스 계정: -PrincipalsAllowedToRetrieveManagedPassword

그래서선적 서류 비치gMSA 생성을 위해 "-PrincipalsAllowedToRetrieveManagedPassword" 매개 변수는 gMSA 사용 기능을 매개 변수에 지정된 보안 그룹의 일부인 컴퓨터로 제한해야 한다고 말합니다. 예:

New-ADServiceAccount -name dev-service -DNSHostName dev-service -PrincipalsAllowedToRetrieveManagedPassword gMSA-dev-service-allowed-hosts

내가 이해하는 바에 따르면 보안 그룹 "gMSA-dev-service-allowed-hosts"에 속한 컴퓨터만 dev-service 계정의 비밀번호에 액세스하도록 허용하여 계정을 사용할 수 있는 컴퓨터를 제한해야 합니다.

내 문제는 그런 식으로 작동하도록 할 수 없다는 것입니다. "gMSA-dev-service-allowed-hosts"의 구성원이 아닌 머신에서도 문제없이 계정을 사용할 수 있습니다.

-PrincipalsAllowedToRetrieveManagedPassword 의 의미를 오해했나요?

감사해요

최상의,

DSA

답변1

Install-ADServiceAccount-PrincipalsAllowedToRetrieveManagedPassword를 설정하면 gMSA를 사용하기 전에 수행해야 하는 또 다른 단계인 의 사용이 제한됩니다 . gMSA가 설치되면 PrincipalsAllowed 설정에 관계없이 서비스가 시작됩니다.관리 비밀번호가 변경될 때까지.

PrincipalsAllowed 엔터티에 포함되지 않은 gMSA를 사용하는 모든 컴퓨터는 관리 암호를 변경할 수 없으며, 변경된 후 도메인에서 관리 암호를 검색할 수도 없습니다. gMSA 관리 암호가 해당 권한이 있는 컴퓨터에 의해 변경된 경우 PrincipalsAllowed 엔터티에 없는 컴퓨터에서 실행되는 서비스에 대한 로그온 오류가 발생합니다.

특정 gMSA를 사용하여 서비스를 실행하는 모든 컴퓨터가 해당 gMSA에 대한 PrincipalsAllowed 엔터티에 포함되어 있는지 확인해야 합니다.~ 할 것이다서비스 시작/재시작에 문제가 발생합니다(기본 관리 비밀번호 변경이 30일로 예정되어 있으므로 한 달 후).

https://technet.microsoft.com/en-us/library/hh852196%28v=wps.630%29.aspx

노트 관리 서비스 계정을 성공적으로 설치하려면 먼저 New-ADServiceAccount 또는 Set-ADServiceAccount cmdlet을 사용하여 서비스 계정에 PrincipalsAllowedToRetrieveManagedPassword 매개 변수 옵션을 설정해야 합니다. 그렇지 않으면 설치가 실패합니다.

예:

# Running this on APPSERVER1

$appServer1 = Get-ADComputer APPSERVER1
$appServer2 = Get-ADComputer APPSERVER2

$gMSA = New-ADServiceAccount 'APP1' -PrincipalsAllowedToRetrieveManagedPassword $appServer2 -DnsHostName 'APP1'

Install-ADServiceAccount 'APP1'
Install-ADServiceAccount : Cannot install service account. Error Message: 'An unspecified error has occurred'.
At line:1 char:1
+ Install-ADServiceAccount 'APP1'
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : WriteError: (APP1:String) [Install-ADServiceAccount], ADException
    + FullyQualifiedErrorId : InstallADServiceAccount:PerformOperation:InstallServiceAccountFailure,Microsoft.ActiveDirectory.Management.Commands.InstallADServiceAccount

Set-ADServiceAccount 'APP1' -PrincipalsAllowedToRetrieveManagedPassword $appServer1

Install-ADServiceAccount 'APP1'

이제 마지막 명령이 성공합니다. 서비스 자격 증명을 구성하면 서비스가 시작됩니다.

Set-ADServiceAccount 'APP1' -PrincipalsAllowedToRetrieveManagedPassword $appServer2

이제 서비스를 다시 시작해도 계속 작동합니다. 그러나 이를 수행 Uninstall-ADServiceAccount한 후 다시 설치하려고 하면 위와 동일한 오류가 발생합니다.

그 사이에 APPSERVER2가 비밀번호를 변경한 경우에도 로그온 실패로 인해 서비스 시작이 실패합니다.

답변2

다음 출력을 검사해야 합니다.

Test-ADServiceAccount dev-service

관련 정보