20、Windows Server 服务认证与域控制器配置全解析

Windows Server 服务认证与域控制器配置全解析

1. 服务认证配置

在 Windows Server 环境中，服务认证配置至关重要，以下为你详细介绍相关内容。

1.1 组托管服务账户（gMSA）

gMSA 是在 Windows Server 2012 中引入的，它扩展了独立 MSA 的功能，支持在多台服务器上使用同一个账户。其应用场景广泛，可用于跨多个主机的服务、计划任务、IIS 应用程序池、SQL 2012 和 Microsoft Exchange 等。

• 创建 gMSA
  • 首先，需要创建 KDS 根密钥，这一步在每个域中仅需执行一次，使用命令：

Add-KDSRootKey –EffectiveImmediately

虽然指定了密钥立即生效，但实际上需要 10 小时才能完全生效，以确保密钥部署到所有域控制器。
- 为了便于管理 gMSA 和使用它的计算机，可将这些计算机加入一个安全组。不过，创建新安全组并分配计算机后，需重启计算机才能使组成员身份生效。
- 使用 `New-ADServiceAccount` cmdlet 创建 gMSA，至少要指定 `-Name` 和 `-DNSHostName` 参数，例如：

New-ADServiceAccount -Name Servi