Description : Les comptes de services sont des comptes d’utilisateurs spécifiquement créés et utilisés pour faire fonctionner des services Windows, une application, un script, ou autres au lieu d’utiliser un compte nominatif d’un utilisateur existant. Hors, ces comptes peuvent parfois poser des soucis de sécurité, car ils sont généralement configurés avec un mot de passe qui n’expire jamais. Si le mot de passe d’un compte de service vient à être compromis, cela peut générer de gros incidents de sécurité, surtout si le compte de service possède des privilèges élevés au sein du domaine Active Directory. Même si le compte de service ne possède que des droits d’administration locaux sur un serveur, vous n’êtes pas à l’abris que le compte piraté puisse servir à faire des attaques par mouvements horizontaux en volant les crédentials d’un autre compte d’administration qui se serait connecté à ce serveur.
Pour limiter l’usage de comptes de services avec des mots de passe éternels, Microsoft a introduit la notion de comptes de service gérés et autonomes, afin qu’un mécanisme puisse réaliser une rotation des mots de passe à intervalle régulier en toute autonomie. Les comptes de service managés autonomes (sMSA – Standalone Managed Service Account), ont vu le jour avec Windows Server 2008 R2 et Windows 7. Ces comptes de service managés (sMSA), ne peuvent être utilisés que pour une seule machine dans le domaine, car c’est la machine qui gérait la rotation du mot de passe du compte de service sMSA.
A partir de Windows Server 2012, Microsoft a introduit les comptes de services managés de groupe (gMSA – Group Managed Service Account). Ces comptes de services autonomes, fonctionnent comme les comptes de services sMSA, mais ont la particularité de pouvoir être utilisés sur plusieurs machines du domaine AD… Ce qui rend plus pratique l’usage d’un même compte de service managé de groupe (gMSA) sur plusieurs machines d’un même cluster. Pour fonctionner sur plusieurs machines, c’est l’Active Directory qui prend désormais en charge la rotation des mots de passes des comptes gMSA.
Cette procédure explique comment créer des comptes de services managés de groupe (gMSA) au sein d’un domaine Active Directory.