Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Questo argomento spiega come creare un account di servizio gestito di gruppo (gMSA) in
Managed Service for Microsoft Active Directory. Devi seguire
queste istruzioni standard
per configurare l'account e tenere conto delle seguenti considerazioni speciali
per AD Microsoft gestito.
Non creare la chiave principale KDS
In genere, la prima volta che crei un gMSA in un dominio, devi generare una chiave principale del servizio KDS (Key Distribution Service). AD Microsoft gestito genera una chiave radice KDS per te quando crei il dominio, quindi puoi saltare questo passaggio delle istruzioni standard.
Per visualizzare la chiave principale KDS, completa i seguenti passaggi:
In Windows, avvia lo strumento Siti e servizi di Active Directory. Per avviare questo strumento, puoi aprire la finestra di dialogo dei comandi Esegui e inserire dssite.msc.
Nello strumento Sites and Services di Active Directory, seleziona la scheda Visualizza.
Nel menu Visualizza, seleziona Mostra nodo servizi.
Nel riquadro a sinistra, seleziona Servizi > Servizio di distribuzione delle chiavi di gruppo > Chiavi master principali.
Il riquadro a destra mostra un elenco di chiavi per il tuo dominio. Seleziona una chiave per visualizzarne i dettagli.
Tieni presente che l'esecuzione del cmdlet PowerShell Get-KdsRootKey restituisce una risposta vuota anche se esiste una chiave principale KDS valida. Puoi vedere la chiave solo quando
esegui il cmdlet Get-KdsRootKey come amministratore del dominio.
Creare un account nel contenitore Managed Service Accounts
Per un dominio Microsoft AD gestito, devono essere creati nuovi account gMSA
sotto il contenitore Managed Service Accounts. Per impostazione predefinita, il cmdlet New-ADServiceAccount crea nuovi gMSA in questa posizione. Per ulteriori informazioni, consulta il cmdlet New-ADServiceAccount.
Delega l'amministrazione di Managed Service Accounts
Puoi delegare l'amministrazione del contenitore Managed Service Accounts a un utente aggiungendolo al gruppo Cloud Service Managed Service Account Administrators.
Per ulteriori informazioni sui gruppi creati per te da Managed Microsoft AD, vedi Gruppi.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-04 UTC."],[],[],null,["# Create a group Managed Service Account\n\nThis topic shows you how to create a group Managed Service Account (gMSA) in\nManaged Service for Microsoft Active Directory. You should follow\n[these standard instructions](https://docs.microsoft.com/en-us/virtualization/windowscontainers/manage-containers/manage-serviceaccounts#create-a-group-managed-service-account)\nfor setting up the account and incorporate the following special considerations\nfor Managed Microsoft AD.\n\nDo not create KDS root key\n--------------------------\n\nUsually, the first time you create a gMSA in a domain, you need to generate a\nKey Distribution Service (KDS) root key. Managed Microsoft AD generates a KDS\nroot key for you when you create the domain, so you can skip that step from\n[the standard instructions](https://docs.microsoft.com/en-us/virtualization/windowscontainers/manage-containers/manage-serviceaccounts#create-a-group-managed-service-account).\n\n### View the KDS root key\n\nBefore you begin, be sure that the Active Directory Sites and Services tool is\ninstalled from\n[Remote Server Administration Tools (RSAT)](https://support.microsoft.com/en-us/help/2693643/remote-server-administration-tools-rsat-for-windows-operating-systems).\n\nTo view the KDS root key, complete the following steps:\n\n1. In Windows, launch the Active Directory Sites and Services tool. To launch this tool, you can open the **Run** command dialog box, and then enter `dssite.msc`.\n2. In the **Active Directory Sites and Services** tool, select the **View** tab.\n3. In the **View** menu, select **Show Services Node**.\n4. In the left pane, select **Services \\\u003e Group Key Distribution Service \\\u003e Master\n Root Keys**.\n5. The right pane shows a list of keys for your domain. Select a key to view its details.\n\nNote that running the `Get-KdsRootKey` PowerShell cmdlet returns an empty\nresponse even though a valid KDS root key exists. You can only see the key when\nyou run the `Get-KdsRootKey` cmdlet as the Domain Admin.\n\nCreate account under `Managed Service Accounts` container\n---------------------------------------------------------\n\nFor a Managed Microsoft AD domain, new gMSAs should be created\nunder the `Managed Service Accounts` container. By default,\nthe `New-ADServiceAccount` cmdlet creates new gMSAs in this location. For more information, see\n[`New-ADServiceAccount`cmdlet](https://learn.microsoft.com/en-us/powershell/module/activedirectory/new-adserviceaccount?view=windowsserver2022-ps).\n\nDelegate administration of `Managed Service Accounts`\n-----------------------------------------------------\n\nYou can delegate the administration of the `Managed Service Accounts` container to a user by\nadding them to `Cloud Service Managed Service Account Administrators` group.\nFor more information about the groups that Managed Microsoft AD creates for you, see [Groups](/managed-microsoft-ad/docs/objects#groups)."]]
