通过

Group Managed Service Accounts

  • 项目

组托管服务帐户是一种托管的域帐户，它提供自动密码管理、简化的服务主体名称 (SPN) 管理、将管理委派给其他管理员的功能以及在多个服务器上扩展此功能。 Microsoft Entra 云同步支持并使用 gMSA 运行代理。 可以选择允许安装程序创建新帐户或指定自定义帐户。 在安装过程中，系统会提示你提供管理凭据，以便创建此帐户或设置权限（如果使用自定义帐户）。 如果安装程序创建帐户，该帐户将显示为 domain\provAgentgMSA$。 有关 gMSA 的详细信息，请参阅组托管服务帐户。

gMSA 的先决条件

  • gMSA 域的林中的 Active Directory 架构需要更新到 Windows Server 2012 或更高版本。
  • 域控制器上的 PowerShell RSAT 模块。
  • 域中必须至少有一个域控制器运行 Windows Server 2012 或更高版本。
  • 要安装代理的已加入域的服务器必须是 Windows Server 2016 或更高版本。

对 gMSA 帐户设置的权限（所有权限）

当安装程序创建 gMSA 帐户时，安装程序会将帐户权限设为“ALL”。 下表详细介绍了这些权限

MS-DS-Consistency-Guid

类型 名称 访问 应用于
Allow <gMSA 帐户> 写入属性 mS-DS-ConsistencyGuid 后代用户对象
Allow <gMSA 帐户> 写入属性 mS-DS-ConsistencyGuid 后代组对象

如果关联林托管在 Windows Server 2016 环境中，则它包括 NGC 密钥和 STK 密钥的以下权限。

类型 名称 访问 应用于
Allow <gMSA 帐户> 写入属性 msDS-KeyCredentialLink 后代用户对象
Allow <gMSA 帐户> 写入属性 msDS-KeyCredentialLink 后代设备对象

密码哈希同步

类型 名称 访问 应用于
Allow <gMSA 帐户> 复制目录更改 仅限此对象（域根）
允许 <gMSA 帐户> 复制所有目录更改 仅限此对象（域根）

密码写回

类型 名称 访问 应用于
Allow <gMSA 帐户> 重置密码 后代用户对象
Allow <gMSA 帐户> 写入 lockoutTime 属性 后代用户对象
Allow <gMSA 帐户> 写入 pwdLastSet 属性 后代用户对象
Allow <gMSA 帐户> 使密码不过期 仅限此对象（域根）

组写回

类型 名称 访问 应用于
Allow <gMSA 帐户> 一般读取/写入 对象类型组和子对象的所有属性
允许 <gMSA 帐户> 创建/删除子对象 对象类型组和子对象的所有属性
允许 <gMSA 帐户> 删除/删除树对象 对象类型组和子对象的所有属性

Exchange 混合部署

类型 名称 访问 应用于
Allow <gMSA 帐户> 读取/写入所有用户属性 后代用户对象
Allow <gMSA 帐户> 读取/写入所有用户属性 后代 InetOrgPerson 对象
Allow <gMSA 帐户> 读取/写入所有用户属性 后代组对象
Allow <gMSA 帐户> 读取/写入所有用户属性 后代联系人对象

Exchange 邮件公用文件夹

类型 名称 访问 应用于
Allow <gMSA 帐户> 读取所有属性 后代 PublicFolder 对象

UserGroupCreateDelete (CloudHR)

类型 名称 访问 应用于
Allow <gMSA 帐户> 一般写入 对象类型组和子对象的所有属性
允许 <gMSA 帐户> 创建/删除子对象 对象类型组和子对象的所有属性
允许 <gMSA 帐户> 一般写入 对象类型用户和子对象的所有属性
允许 <gMSA 帐户> 创建/删除子对象 对象类型用户和子对象的所有属性

使用自定义 gMSA 帐户

如果要创建自定义 gMSA 帐户，安装程序会将自定义帐户权限设为“ALL”。

有关如何升级现有代理以使用 gMSA 帐户的步骤，请参阅组托管服务帐户。

若要详细了解如何为组托管服务帐户准备 Active Directory，请参阅组托管服务帐户概述。

后续步骤