Active Directory Managed Service Accounts (gMSA)

Voraussetzungen und Restriktionen

AD MSA können nur auf Domain Controller auf Basis Windows 2008 R2, Win7 und neuere Windows Versionen verwendet werden. Sollte eine ein ältere Version im Einsatz sein schafft dieser KB Artikel Abhilfe.

http://technet.microsoft.com/en-us/library/dd548356(v=ws.10).aspx

Auf jedem Computer darf immer nur ein ADMSA Account geben.

Verwaltung und Administration der gMSAccounts

Alle Accounts müssen via Powershell und geladenem Module "ActiveDirectory" administriert werden. 

CMDLets

Add-ADComputerServiceAccount                    
Get-ADComputerServiceAccount                      
Get-ADServiceAccount                              
Install-ADServiceAccount                          
New-ADServiceAccount                            
Remove-ADComputerServiceAccount      
Remove-ADServiceAccount                      
Reset-ADServiceAccountPassword          
Set-ADServiceAccount                              
Uninstall-ADServiceAccount        

     

Create and manage gMSAccount : 

erstelle eines gMSAccounts 

New-ADServiceAccount -name <Account-Name> -Path "DestinguishedName der AblageOU" -enabled $true

Verbinden des gMSAccounts  mit dem Computer Objekt.

Add-ADComputerServiceAccount -Identitiy <Zielcomputer> -ServiceAccount <Account-Name>

Verifizieren des verlinkten gMSA 

In den Attributen des Computer Objekts kann dies geprüft werden mit den Namen "msDS"

Vorbereitung Client

Auf dem Client müssen die AD Powershell CMDlet und .Net 3.5 installiert werden.

Installation des gMSA auf dem Client

Der Account muss auf dem Client installiert werden. Hierfür nutz man den Befehl 

Install-ADServiceAccount -Identity <Account-Name>

Hinterlegen des Accounts wird über die Services.msc (Dienst Konsole) mit Anmelden -> Dieses Konto -> Account aus dem AD wählen und das PW Feld löschen -> Service Restart


Änderungen und neue Features zu Server 2012 folgen....

-------------------------------------------------------------------------------------------------------------------------------------------------------------------

Tipps und Tricks:

Error: Beim ausführen des Befehls

New-ADServiceAccount -Name <TestAccount> -Path <CN=Managed Service Accounts,DC=Domain,DC=test> 

kommt diese PS Errors

New-ADServiceAccount: Der Schlüssel ist nicht vorhanden
New-ADServiceAccount: Key does not exist

Man muss 10 Stunden warten um die Replikation zeit zu geben. Dies liegt an der Passwort Generierung welche verhindert, dass ein DC diese Anfrage annimmt. In einer Testumgebung oder kleinen Domain mit nur einem DC kann dies ausgehebelt werden mit dem Command:

Add-KdsRootKey –EffectiveTime ((get-date).addhours(-10))   

Error: Installieren des Accounts auf dem Client

Zeichenmaximum bei gMSAccounts ist bei 15 Stellen. Beim installieren des Accounts auf dem Client erhält man sonst diese Fehlermeldung in der PS.

Install-ADServiceAccount : Cannot install service account. Error Message: 'Unknown error (0xc0000017)'.

Quellen:
http://technet.microsoft.com/en-us/library/jj128431.aspx
http://social.technet.microsoft.com/Forums/en-US/winserver8gen/thread/82617035-254f-4078-baa2-7b46abb9bb71/

Active Directory - Change Site to Site Replication Time

Problem:
Wenn die Replikation zwischen zwei Sites nicht schnell genug ist kann diese über die Konfiguration verkürz werden.
Szenario:
Dieses Ansatz ist sehr hilfreich, wenn die Standard Replikation welche mindestens 15min beträgt nicht ausreicht.
Beispiel: Site ist ausschließlich mit einem Read only Domain Controller (RODC) ausgestattet. Somit werden Änderungen an einen Objekt welche in der Site mit dem RODC an den nächsten Writeable Domain Controller (RWDC) weitergeleitet. Diese müssen aber die empfangene Änderung wieder an den RODC zurück schreiben. Da nicht alle Attribute am PDC abgefragt werden sondern auschliesslich am RODC kann es sein, dass das Objekt vom RODC nicht aktuell ist. Dies kann zu Problemen fürhren wenn wenn z.B. das Computer Objekt Password erneuert wurde.

Beispiel

Lösung:
Die Site Replikation muss von 15min (mindest Wert welcher über die GUI eingestellt werden kann) herunter gestellt werden. Dies kann über ein Site Attribute angepasst werden.
In ADSIEDIT kann unter
Konfiguration/Sites/Inter-Site Transports/IP
für die jeweilige Site welche eine sofortige Replikation ausgelöst werden. Dies wird durch das Attribute "Options" gesetzt welches im Default Wert leer ist. Wird hier der Wert 1 eingesetzt so informiert der DC seinen nächsten Replikationspartner welche über die Site mit diesem DC kommunizieren.

Diese Option sollte mit Vorsicht definiert werden, da die übertragene Datenmenge erhöht wird. Auch die Auslastung des DC wird merklich erhöht.


Quelle: http://www.msexchangefaq.de/konzepte/adsitelinkreplication.htm

Logon Probleme beim WSUS Installation am Service "Interne Windows-Datenbank"

Problem:
GPO Steuerung der "Anmelden als Dienst" oder "Logon as a Service" ist unter Windows 2012 definitiv komplizierter geworden.
Etliche Roles erstellen bei der Installation mehrere Accounts welche über dieses Recht verfügen müssen.

Die Installation für WSUS auf Win Server 2012 erstellt einen lokalen Account "NT SERVICE\MSSQL$MICROSOFT##WID" welcher für die Services z. B. "Interne Windows-Datenbank" benötigt wird.

Lösung:
Diesen Service explizit via GPO zu definieren ist mir noch nicht gelungen. Welche Lösung definitiv hilft ist diesen Account in der GPO zu hinterlegen "NT SERVICE\ALL SERVICES"
http://social.technet.microsoft.com/Forums/en-US/winserver8gen/thread/7768ffb1-fd78-430f-b122-873f5306580f


Eventuell Tips sind erwünscht.