Настройка и установка GMSA
Пытаюсь разобраться с GMSA. На борту имеются 3 компьютера: 2 сервера (WinServer2019) и 1 обычный (Win10). Первый сервер используется в качестве контроллера домена (далее dc), второй сервер буду называть srv. Копьютер на Win10 пусть будет usr.
Была создана группа в AD, названная "GGroup", в которую были помещены пользовательский компьютер (usr) и сервер (srv). На DC была настроена выдача ключей Kerberos (Kds) и поднят аккаунт GMSA следующим образом:
Add-KdsRootKey -EffectiveImmediately
New-ADServiceAccount -Name GMSA -DNSHostName dc -PrincipalsAllowedToRetrieveManagedPassword GGroup -ManagedPasswordIntervalInDays 30
Далее действия происходят на srv. Здесь я устанавливаю GMSA и проверяю его работу:
Install-ADServiceAccount -Identity GMSA
Test-ADServiceAccount GMSA
В результате получаю "True".
Теперь я хочу добавить GMSA в группу локальных администраторов для моего компьютера usr. Но почему-то usr не распознаёт GMSA$ как служебный аккаунт, когда я делаю это вручную. Вместо служебного аккауна в администраторы из домена добавляется несуществующий компьютер с именем GMSA.
Для решения сей проблемы на dc я создал группу "GMSAContainer" и поместил туда аккаунт GMSA. С помощью редактора групповой политики на usr в группу администраторов была добавлена группа GMSAContainer. Также в локальной политике безопасности для GMSA был разрешен "Log in as a service" и "Log in as a batch job" (без понятия что из этого нужно на самом деле :c).
Думая, что процесс настройки GMSA завершен, я бы хотел содать "Scheduled Task". Как я понял, делать его надо на dc. Вычитал, что из GUI его на создать, делаю из powershell'a:
$action = New-ScheduledTaskAction "C:\Windows\System32\notepad.exe"
$trigger = New-ScheduledTaskTrigger -Daily -At 10:00
$principal = New-ScheduledTaskPrincipal -UserID CONTOSO\GMSA$ -LogonType Password
Register-ScheduledTask note –Action $action –Trigger $trigger –Principal $principal
schtasks /change /TN \note /RU CONTOSO\GMSA$ /RL HIGHEST
Далее из GUI планировщика запускаю таск и... ничего не происходит :(
Похоже, я что-то упускаю, но уже не могу понять что именно. Всё дело происходит на виртуальных машинах. Связи с внешним миром у них нет. Cоответственно и интеренета тоже. То есть никакого дополнительного ПО туда не подгрузить.