Voir la source de Group Managed Service Accounts (gMSA)

{{Rôles Active Directory}}

__TOC__

== Nouveau compte ==

Pour illustrer ce chapitre, nous allons créer le compte de service nommé '''FC01SRV-GAC''' que nous allons associé au serveur '''FC01SRV'''.

=== Création du compte sur le contrôleur de domaine ===

* Depuis le contrôleur de domaine, créer un nouveau compte '''gMSA''' à l’aide de la commande PowerShell '''New-ADServiceAccount''' ''<span style='color:blue'>(adapter les éléments en bleu)</span>'' :

{{ Box Console | objet=New-ADServiceAccount -Name "<span style='color:blue'>FC01SRV-GAC</span>" `<br />
-Description "<span style='color:blue'>Serveurs de fichiers</span>" `<br />
-DNSHostName "<span style='color:blue'>FC01SRV.ncad.fr</span>" `<br />
-ManagedPasswordIntervalInDays <span style='color:blue'>30</span> `<br />
-PrincipalsAllowedToRetrieveManagedPassword "<span style='color:blue'>FC01SRV$</span>" `<br />
-Enabled $True }}

Avec :
* '''ManagedPasswordIntervalInDays  :''' Période de renouvellement automatique du mot de passe.
* '''PrincipalsAllowedToRetrieveManagedPassword :''' Nom des machines autorisés à utiliser le compte de service.
* '''DNSHostName :''' Nom DNS du compte de service.

{{ Box Attention | objet=Si la durée de vie du mot de passe est supérieure à 90 jours ''(paramètre ManagedPasswordIntervalInDays)'', ORADAD vous attribuera le score {{Score ORADAD 2}} pour le critère [https://www.cert.ssi.gouv.fr/uploads/ad_checklist.html#vuln_password_change_msa_no_change_90 vuln_password_change_msa_no_change_90]. }}

=== Association du compte ===

* Toujours depuis le contrôleur de domaine, le compte de service doit être associé au serveur sur lequel il s’exécute :

{{ Box Console | objet=Add-ADComputerServiceAccount -Identity "<span style='color:blue'>FC01SRV</span>" -ServiceAccount "<span style='color:blue'>FC01SRV-GAC</span>" }}

=== Installation du compte sur le serveur ===

* Depuis le serveur où sera utilisé le compte de service, installer le compte de service :

{{ Box Console | objet=Add-WindowsFeature RSAT-AD-PowerShell<br />
Install-ADServiceAccount <span style='color:blue'>FC01SRV-GAC</span> }}

{{ Box Remarque | objet=La prise en compte des paramètres est immédiate !}}

== Actions courantes ==

=== Régénérer le mot de passe du compte ===

* Bien que le mot de passe soit géré automatiquement, il peut arriver de vouloir régénérer une mot de passe. Pour cela, depuis le serveur, saisir la commande suivante :

{{ Box Console | objet=Reset-ADServiceAccountPassword -Identity <span style='color:blue'>FC01SRV-GAC</span> }}

=== Liste des machines associées au compte ===

* Il peut être utile de vouloir '''vérifier''' quel''(s)'' machine''(s)'' sont autorisée''(s)'' à utiliser le '''compte gMSA'''. Pour cela, utiliser la commande suivante :

{{ Box Console | objet=Get-ADServiceAccount -Identity <span style='color:blue'>FC01SRV-GAC</span> -Properties PrincipalsAllowedToRetrieveManagedPassword }}

=== Associer une machine supplémentaire au compte gMSA ===

* Il est possible de '''modifier la liste des machines''' autorisées à utiliser le '''compte gMSA'''. Pour cela, saisir la commande suivante :

{{ Box Console | objet=Set-ADServiceAccount -Identity <span style='color:blue'>FC01SRV-GAC</span> -PrincipalsAllowedToRetrieveManagedPassword <span style='color:blue'>FC01SRV$,SAVSRV$</span> }}