이 항목에서는 Microsoft Active Directory용 관리형 서비스에서 그룹 관리형 서비스 계정(gMSA)을 만드는 방법을 보여줍니다. 계정을 설정하려면 이 표준 안내를 따라야 하며 관리형 Microsoft AD에 대해 다음과 같은 특별 고려사항을 통합해야 합니다.
KDS 루트 키를 만들지 않음
일반적으로 도메인에서 gMSA를 처음 만들 때는 KDS(Key Distribution Service) 루트 키를 생성해야 합니다. 관리형 Microsoft AD는 도메인을 만들 때 KDS 루트 키를 생성하므로 표준 안내에서 해당 단계를 건너뛸 수 있습니다.
KDS 루트 키 보기
시작하기 전에 Active Directory 사이트 및 서비스 도구가 RSAT(원격 서버 관리 도구)에서 설치되어 있는지 확인하세요.
KDS 루트 키를 보려면 다음 단계를 완료합니다.
Windows에서 Active Directory 사이트 및 서비스 도구를 시작하세요. 이 도구를 시작하려면 실행 명령어 대화상자를 열고 dssite.msc를 입력하세요.
Active Directory 사이트 및 서비스 도구에서 보기 탭을 선택하세요.
보기 메뉴에서 서비스 노드 표시를 선택하세요.
왼쪽 창에서 서비스 > 그룹 키 배포 서비스 > 마스터 루트 키를 선택하세요.
오른쪽 창에 도메인의 키 목록이 표시됩니다. 세부정보를 보려면 키를 선택하세요.
유효한 KDS 루트 키가 존재하더라도 Get-KdsRootKey PowerShell cmdlet을 실행하면 빈 응답이 반환됩니다. Get-KdsRootKey cmdlet을 도메인 관리자로 실행할 때만 키를 볼 수 있습니다.
Managed Service Accounts 컨테이너에 계정 만들기
관리형 Microsoft AD 도메인의 경우 Managed Service Accounts 컨테이너 아래에 새 gMSA를 만들어야 합니다. 기본적으로 New-ADServiceAccount cmdlet은 이 위치에 새 gMSA를 만듭니다. 자세한 내용은 New-ADServiceAccount cmdlet을 참고하세요.
Managed Service Accounts 관리 위임
Managed Service Accounts 컨테이너를 Cloud Service Managed Service Account Administrators 그룹에 추가하여 사용자에게 컨테이너 관리 권한을 위임할 수 있습니다.
관리형 Microsoft AD에서 만드는 그룹에 대한 자세한 내용은 그룹을 참고하세요.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[],[],null,["# Create a group Managed Service Account\n\nThis topic shows you how to create a group Managed Service Account (gMSA) in\nManaged Service for Microsoft Active Directory. You should follow\n[these standard instructions](https://docs.microsoft.com/en-us/virtualization/windowscontainers/manage-containers/manage-serviceaccounts#create-a-group-managed-service-account)\nfor setting up the account and incorporate the following special considerations\nfor Managed Microsoft AD.\n\nDo not create KDS root key\n--------------------------\n\nUsually, the first time you create a gMSA in a domain, you need to generate a\nKey Distribution Service (KDS) root key. Managed Microsoft AD generates a KDS\nroot key for you when you create the domain, so you can skip that step from\n[the standard instructions](https://docs.microsoft.com/en-us/virtualization/windowscontainers/manage-containers/manage-serviceaccounts#create-a-group-managed-service-account).\n\n### View the KDS root key\n\nBefore you begin, be sure that the Active Directory Sites and Services tool is\ninstalled from\n[Remote Server Administration Tools (RSAT)](https://support.microsoft.com/en-us/help/2693643/remote-server-administration-tools-rsat-for-windows-operating-systems).\n\nTo view the KDS root key, complete the following steps:\n\n1. In Windows, launch the Active Directory Sites and Services tool. To launch this tool, you can open the **Run** command dialog box, and then enter `dssite.msc`.\n2. In the **Active Directory Sites and Services** tool, select the **View** tab.\n3. In the **View** menu, select **Show Services Node**.\n4. In the left pane, select **Services \\\u003e Group Key Distribution Service \\\u003e Master\n Root Keys**.\n5. The right pane shows a list of keys for your domain. Select a key to view its details.\n\nNote that running the `Get-KdsRootKey` PowerShell cmdlet returns an empty\nresponse even though a valid KDS root key exists. You can only see the key when\nyou run the `Get-KdsRootKey` cmdlet as the Domain Admin.\n\nCreate account under `Managed Service Accounts` container\n---------------------------------------------------------\n\nFor a Managed Microsoft AD domain, new gMSAs should be created\nunder the `Managed Service Accounts` container. By default,\nthe `New-ADServiceAccount` cmdlet creates new gMSAs in this location. For more information, see\n[`New-ADServiceAccount`cmdlet](https://learn.microsoft.com/en-us/powershell/module/activedirectory/new-adserviceaccount?view=windowsserver2022-ps).\n\nDelegate administration of `Managed Service Accounts`\n-----------------------------------------------------\n\nYou can delegate the administration of the `Managed Service Accounts` container to a user by\nadding them to `Cloud Service Managed Service Account Administrators` group.\nFor more information about the groups that Managed Microsoft AD creates for you, see [Groups](/managed-microsoft-ad/docs/objects#groups)."]]
