| 加固项 | 服务账号认证 |
|---|---|
| 适用平台 | Windows Server（AD 2012+） |
| 风险等级 | 中 |
| 基线 | 关键服务用 gMSA/MSA |
创建与使用
创建与使用
New-ADServiceAccount -Name 'svc-web' -DNSHostName 'svc-web.corp.example.com' -PrincipalsAllowedToRetrieveManagedPassword 'WebServers$'
Install-ADServiceAccount -Identity 'svc-web'
Test-ADServiceAccount -Identity 'svc-web'盘点现有服务账号口令风险
盘点现有服务账号口令风险
Get-CimInstance Win32_Service | Where-Object {$_.StartName -like '*\*'} | Select-Object Name, StartName, StartMode | Sort-Object StartName域外或非域场景不支持 gMSA：退而求其次用 LAPS 管理本地服务账号口令并定期轮换。