Skip to content

MS_gMSA

Jump to bottom
nishi_74322014 edited this page Aug 4, 2026 · 1 revision

gMSA

概要

グループの管理されたサービスアカウント
gMSA : Group Managed Service Accounts

  • ドメイン アカウントとして分離できるように設計された。

  • SPNや資格情報を手動で管理する必要がなくなる。
    「Active Directoryに登録されたユーザーのパスワードは変更されたけど、
    サービスに登録されたユーザーのパスワードは変更されない」という問題を解決する。

  • 複数のサーバーで利用でき、利用できるサーバーを限定できる。

  • 主に、ADFS（フェデレーション サービス (AD FS)）や
    NLB（MS_NLB.md）などのサーバファームのサービスアカウントとして便利に使用する。

    ネットワーク負荷分散 (NLB) などを使用しているサーバー ファームにホストされたサービスに クライアント コンピューターが接続するときに、サービスのすべてのインスタンスが 同じプリンシパルを使用していない場合は、相互認証（ケルベロス認証など）を サポートする認証プロトコルを使用することはできません。 つまり、各サービスは同じパスワード/キーを使用して ID を証明する必要があります。

  • SPNとあるが、

    • サーバファームの相互認証（ケルベロス認証など）のサポート簡素化が目的で、
    • 「委任」・「制約付き委任」等には関係がない模様。

※ パスワードは AD が生成・管理し、既定で 30日ごとに自動更新される。
長さ 240 文字相当のランダム値のため、SPNを持つアカウントの弱点である
Kerberoasting に対しても強い。

MSAとgMSAの違い

そもそもMSAとは

管理されたサービスアカウント
MSA : Managed Service Accounts

  • Windows 7 および Windows Server 2008 R2 以降でサポートされた。
  • アカウントを各自のドメイン アカウントとして分離できるように設計されたもので、
    管理者にとっては、サービス プリンシパル名（SPN）と
    これらのアカウントの資格情報を手動で管理する必要がなくなる。

gMSAでの拡張

MSA（sMSA） gMSA
複数のコンピューターで共有 できない できる
タスクスケジューラーでの使用 できない できる
サポート アプリケーションレベル 同左

設定方法

# 1. フォレストに KDS ルート キーを作成（初回のみ。既定では 10 時間後に有効）
Add-KdsRootKey -EffectiveImmediately

# 2. gMSA を作成し、パスワードを取得できるコンピュータ（グループ）を指定
New-ADServiceAccount -Name gmsaSvc01 -DNSHostName gmsaSvc01.contoso.com `
  -PrincipalsAllowedToRetrieveManagedPassword "WebFarmServers"

# 3. 各サーバーにインストール
Install-ADServiceAccount -Identity gmsaSvc01
Test-ADServiceAccount   -Identity gmsaSvc01
  • サービスの実行アカウントには CONTOSO\gmsaSvc01$ を指定し、パスワードは空にする。
  • 必要なSPNは -ServicePrincipalNames で設定できる。

※ 前提条件：ドメインの機能レベルが Windows Server 2012 以上。

参考

補足（最新化）: Windows Server 2025 では、 AD が名前とパスワードを完全に自動管理する dMSA（Delegated Managed Service Account） が追加され、 既存のサービス アカウントからの移行も想定されている。

Tags: セキュリティ, アカウント, Windows, Active Directory

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally