☰

远程安装服务帐户到许多服务器

tag-icon • tag-icon active-directory powershell managed-service-accounts
远程安装服务帐户到许多服务器

我们正在尝试实施一个新流程，我任务的第一部分基本上是每月更改本地管理员密码，并使用管理员团队的新密码更新密码库。——我的 PowerShell 脚本的这一部分很好。

我们还将使用托管服务帐户，我将使用托管服务帐户运行我的 PowerShell 脚本来远程更改每台服务器上的密码。——这是我的问题。

为了像这样使用服务帐户，我正在创建一个组来放置服务器，然后创建一个链接它的服务帐户：

New-ADServiceAccount -Name "serviceaccount" -DNSHostName "serviceaccount.domain.com" -Path "OU=ServiceAccounts,DC=domain,DC=com" -PrincipalsAllowedToRetrieveManagedPassword "gMSA-ServerGroup"

这一切都很棒......但是使用此命令无法在每个服务器 0_o 上远程安装： Install-ADServiceAccount -Identity "serviceaccount"

除非我登录到需要它的服务器，否则我已经测试过这个，打开 PowerShell 并运行命令，没有错误测试并且完美！

这不起作用：

Invoke-Command -ComputerName $server -Credential $credentials -ScriptBlock {
 #try to install service account
 Install-ADServiceAccount -Identity "serviceaccount"
}

有人有这个问题吗？

我可以用不同的方式来实现吗，也许通过组策略。

服务器操作系统各不相同：2008、2012 和 2016

答案1

我强烈建议使用微软自己的解决方案，洛杉矶郡，管理本地管理员密码。

它基本上是一个组策略扩展，可以更改密码并将其存储在 AD 中计算机帐户的哈希属性中。您可以使用常规 AD 工具（包括 Powershell）来管理它。有一个小型 GUI 工具可以安装在任何地方（例如管理计算机）。

不需要服务帐户，但您需要在客户端计算机上安装 DLL 并对 AD 权限进行一些（简单的）调整。

更多信息和下载这里。下载包里有部署指南。

相关内容