Active Directory gMSA ile Servis Parolalarını Güvenli Yönetmek

Windows servislerinde klasik domain kullanıcı hesabı kullanmak, parola süresinin dolması veya eski kimlik bilgilerinin sistemde kalması gibi sorunlara yol açabilir.

Group Managed Service Account (gMSA) desteklenen servislerde parola yönetimini Active Directory'ye devretmemizi sağlar.

Ön koşullar

Domain Controller ve uygulama sunucularının gMSA desteğine sahip olması gerekir.

Active Directory üzerinde KDS root key bulunmalı ve hesabın parolasını hangi sunucuların alabileceği belirlenmelidir.

Mevcut durumu inceleyelim

Yetkili PowerShell oturumunda:

Get-KdsRootKey
Get-ADServiceAccount -Filter * |
  Select-Object Name,Enabled

Bu komutlar yapılandırmayı değiştirmez.

KDS root key yoksa üretim ortamında yeni anahtar oluştururken Microsoft'un önerdiği dağıtım ve bekleme süresini dikkate alınmalıdır.

Hesap oluşturma örneği

Örnekte uygulama sunucularının GG_gMSA_WebServers güvenlik grubuna önceden alındığını varsayıyoruz:

New-ADServiceAccount -Name gmsaWebApp `
  -DNSHostName gmsaWebApp.example.local `
  -PrincipalsAllowedToRetrieveManagedPassword GG_gMSA_WebServers

Servisin çalışacağı Windows sunucuda:

Install-ADServiceAccount -Identity gmsaWebApp
Test-ADServiceAccount -Identity gmsaWebApp

Servis kimliği genellikle DOMAINgmsaWebApp$ biçiminde kullanılır.

Güvenlik kontrolleri

• Parolayı alma yetkisini yalnızca gerekli sunuculara verin.
• Uygulamanın gMSA desteğini doğrulayın.
• SPN ve Kerberos gereksinimlerini kontrol edin.
• Hesaba gereksiz yerel yönetici yetkisi vermeyin.
• Geçiş öncesi mevcut servis hesabını ve geri dönüş planını kaydedin.

gMSA bütün üçüncü taraf uygulamalar tarafından desteklenmeyebilir.

Kaynak: Microsoft Learn Group Managed Service Accounts.