Configurando a conta de serviço gerenciado do grupo no Windows Server 2012 R2

Question

Eu tenho um controlador de domínio do Windows 2012 R2 chamado cox.win.testlab . Eu configurei um grupo de hosts onde eu gostaria de usar um gMSA (Group Managed Service Account). Este grupo é chamado SQLManagedHosts .

Eu criei a conta seguindo estas etapas no Powershell no controlador de domínio:

PS C:\Windows\system32> Add-KdsRootKey -EffectiveTime ((get-date).addhours(-10))

Guid
----
9b68b1e7-db76-c4e4-4978-63c2965e5596

PS C:\Windows\system32> New-ADServiceAccount mSQL -DNSHostName cox.win.testlab -PrincipalsAllowedToRetrieveManagedPassword SQLManagedHosts

PS C:\Windows\system32> Get-ADServiceAccount msql

DistinguishedName : CN=mSQL,CN=Managed Service Accounts,DC=win,DC=testlab
Enabled           : True
Name              : mSQL
ObjectClass       : msDS-GroupManagedServiceAccount
ObjectGUID        : cf9df74a-38e0-4d7a-856e-9af882b08800
SamAccountName    : mSQL$
SID               : S-1-5-21-3443997112-87545443-1733229669-1602
UserPrincipalName :

Em um dos hosts listados em SQLManagedHosts, eu corri:

PS C:\Windows\system32> Install-ADServiceAccount msql
Install-ADServiceAccount : Cannot install service account. Error Message: 'An unspecified error has occurred'.
At line:1 char:1
+ Install-ADServiceAccount msql
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : WriteError: (mSQL:String) [Install-ADServiceAccount], ADException
    + FullyQualifiedErrorId : InstallADServiceAccount:PerformOperation:InstallServiceAcccountFailure,Microsoft.ActiveDirectory.Management.Commands.InstallADServiceAccount

Alguma idéia de por que ela pode estar falhando? Todos os servidores envolvidos são o Windows Server 2012 R2.

    

Answer 1

Você não pode usar o gMSA para serviços SQL, não é suportado. Você deve usar o MSA.

Fonte: link

    

Answer 2

Não tenho certeza do motivo pelo qual ele pode estar falhando, mas quando estava mexendo no gMSAs e no SQL, eu estava usando essa GUI e funcionava bem.

GUI do GMSA

    

Answer 3

Se você criou apenas recentemente o grupo de segurança SQLManagedHosts e adicionou seus objetos de computador a ele, será necessário reiniciar o servidor para que os membros do grupo entrem em vigor. Como o servidor não é membro do grupo de segurança, se você não fizer isso, a recuperação da senha gerenciada falhará.

Você precisará ter isso em mente ao planejar grupos de segurança para grupos de MSAs.

    

Answer 4

Eu agora esta é uma postagem antiga, mas achei que ainda iria mencionar isso. Assista esse video. link

Acho que você pode ter perdido alguns passos. Espero que ajude.