Uso de cuentas de servicio administradas por grupo (gMSA)
La cuenta de servicio administrada de grupo (gMSA) es una cuenta de dominio administrada que proporciona administración automática de contraseñas, administración del nombre principal del servicio (SPN) y la capacidad de delegar la administración a otros administradores en varios servidores.
Las cuentas de servicio en Active Directory se utilizan para identificar y autenticar un servicio. Una cuenta de servicio es una cuenta de usuario que se crea para brindar la capacidad de servicio para acceder a recursos locales y de red en el sistema operativo del servidor Windows.
En redes grandes, para administrar muchas cuentas de servicio, se utilizan Cuentas de servicio administradas de grupo (gMSA) y cuentas de Cuenta de servicio administradas independientes (sMSA).
Al utilizar una cuenta de servicio administrada por grupo (gMSA), los servicios o los administradores de servicios no necesitan administrar contraseñas; gMSA tiene su contraseña administrada por Active Directory.
gMSA proporciona una solución de identidad única para servicios que se ejecutan en el sistema operativo Windows.
La cuenta de servicio administrada por grupo (gMSA) se utiliza para servicios, tareas programadas o grupos de aplicaciones IIS.
En este artículo, explicaré los requisitos de la cuenta de servicio administrada por grupo y cómo crear una cuenta de servicio administrada por grupo (gMSA) usando PowerShell.
Requisito de cuenta de servicio administrada grupal (gMSA)
Las cuentas de servicio administradas por grupo no se aplican a los sistemas operativos Windows anteriores a Windows Server 2012.
Requisitos de gMSA
- Servidor de Windows 2012, Servidor de Windows 2016, Servidor de Windows 2019, Servidor de Windows 2022
- Active Directory debe estar presente
- Módulo PowerShell Active Directory
- El controlador de dominio en el dominio debe ejecutar el sistema operativo Windows Server 2012 o posterior.
Cree una cuenta de servicio administrada por grupo (gMSA) usando PowerShell
Para crear una cuenta de servicio administrada por grupo, el controlador de dominio requiere una clave raíz para generar contraseñas gMSA.
Los controladores de dominio esperan 10 horas desde el momento de la creación para permitir que todos los DC hagan converger su replicación de AD.
Cree la clave raíz de KDS usando Add-kdsRootKey inmediatamente
Para crear la clave raíz KDS (Servicio de distribución de claves) inmediatamente en el controlador de dominio, ejecute el siguiente comando en PowerShell
Add-KdsRootKey -EffectiveImmediatelyEn el cmdlet Add-KdsRootKey anterior, cree la clave raíz de KDS inmediatamente en el controlador de dominio.
El uso de EffectiveImmediately agregará la clave raíz de kds al DC de destino de inmediato; sin embargo, otro controlador de dominio no podrá usarla hasta que la replicación sea exitosa.
Cree la clave raíz de KDS usando Add-kdsRootKey en el entorno de prueba
Para crear la clave raíz de KDS (servicio de distribución de claves) inmediatamente en un entorno de prueba solo en DC, especifique la hora de inicio en el pasado para evitar esperar la replicación de AD.
Ejecute el siguiente comando para crear la clave raíz de KDS con efectividad inmediata como se muestra a continuación
Add-KdsRootKey -EffectiveTime ((get-date).addhours(-10))En el comando anterior, Add-kdsRootKey usa el parámetro EffectiveTime para especificar la hora pasada (10 horas antes de la hora usando get-date).
Para confirmar, si la clave raíz de kds se creó correctamente o no, ejecute el siguiente comando en PowerShell
Get-kdsRootKeyEl resultado del comando anterior para crear la clave raíz de kds y obtener la clave raíz de kds creada como se muestra a continuación
Crear cuenta de servicio administrado en Active Directory
Ahora que tenemos la clave raíz de kds creada anteriormente, ahora podemos crear una cuenta de servicio administrada por grupo usando el cmdlet New-ADServiceAccount como se muestra a continuación.
New-ADServiceAccount -Name "Engg-Service2" -DNSHostName "ENGG-Service2.SHELLPRO.LOCAL" -Enabled $TrueEn el script de PowerShell anterior,
El cmdlet New-ADServiceAccount utiliza el parámetro Name para especificar el nombre de la cuenta de servicio.
-DNSHostName especifica el nombre de host DNS de la cuenta de servicio.
El comando anterior crea una cuenta de servicio administrada habilitada como Engg-Service2
Si intenta ejecutar el cmdlet Test-ADServiceAccount para probar la cuenta de servicio administrada creada anteriormente (Engg-Service2), imprimirá un mensaje de advertencia como se muestra a continuación.
Test-ADServiceAccount -Identity "Engg-Service2"El resultado del comando anterior muestra un mensaje de advertencia a continuación
Para evitar el mensaje de advertencia anterior, debemos especificar qué computadora puede solicitar y acceder a contraseñas usando el cmdlet Set-ADServiceAccount como se muestra a continuación.
Set-ADServiceAccount -Identity ENGG-Service2 -PrincipalsAllowedToRetrieveManagedPassword ENGG-PRO$En el script de PowerShell anterior, el cmdlet Set-ADServiceAccount configuró la computadora ENGG-PRO para recuperar la contraseña administrada para la cuenta de servicio administrada especificada mediante el parámetro Identity.
Después de configurar el nombre de la computadora para la cuenta de servicio administrada, ejecute Test-ADServiceAccount el cmdlet para probar la cuenta de servicio administrada como se muestra a continuación.
Test-ADServiceAccount -Identity "Engg-Service2"Arriba Test-ADServiceAccount prueba la cuenta de servicio administrada y devuelve verdadero.
Consejo interesante: ¡Cómo utilizar el cmdlet de cuenta de búsqueda en PowerShell!
Conclusión
Espero que el artículo anterior sobre los requisitos de la cuenta de servicio administrada por grupo (gMSA), la creación de la clave raíz kds y la creación de una cuenta de servicio administrada por grupo (gMSA) sea útil.
Los cmdlets New-ADServiceAccount, Set-ADServiceAccount, Get-ADServiceAccount y Test-ADServiceAccount se utilizan para administrar cuentas de servicio en el directorio activo.
Puede encontrar más temas sobre los comandos de PowerShell Active Directory y los conceptos básicos de PowerShell en la página de inicio de ShellGeek.