在 Windows Server 2012 R2 上设置组托管服务帐户

Question

我有一个 Windows 2012 R2 域控制器，名为cox.win.testlab. 我已经设置了一组主机，我想在其中使用 gMSA（组托管服务帐户）。这个组叫做SQLManagedHosts。

我在域控制器上的 Powershell 中按照以下步骤创建了该帐户：

PS C:\Windows\system32> Add-KdsRootKey -EffectiveTime ((get-date).addhours(-10))

Guid
----
9b68b1e7-db76-c4e4-4978-63c2965e5596

PS C:\Windows\system32> New-ADServiceAccount mSQL -DNSHostName cox.win.testlab -PrincipalsAllowedToRetrieveManagedPassword SQLManagedHosts

PS C:\Windows\system32> Get-ADServiceAccount msql

DistinguishedName : CN=mSQL,CN=Managed Service Accounts,DC=win,DC=testlab
Enabled           : True
Name              : mSQL
ObjectClass       : msDS-GroupManagedServiceAccount
ObjectGUID        : cf9df74a-38e0-4d7a-856e-9af882b08800
SamAccountName    : mSQL$
SID               : S-1-5-21-3443997112-87545443-1733229669-1602
UserPrincipalName :

在 SQLManagedHosts 中列出的其中一台主机上，我运行了：

PS C:\Windows\system32> Install-ADServiceAccount msql
Install-ADServiceAccount : Cannot install service account. Error Message: 'An unspecified error has occurred'.
At line:1 char:1
+ Install-ADServiceAccount msql
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : WriteError: (mSQL:String) [Install-ADServiceAccount], ADException
    + FullyQualifiedErrorId : InstallADServiceAccount:PerformOperation:InstallServiceAcccountFailure,Microsoft.ActiveDirectory.Management.Commands.InstallADServiceAccount

任何想法为什么它可能会失败？所有涉及的服务器都是 Windows Server 2012 R2。

Answer 1

您不能将 gMSA 用于 SQL 服务，它不受支持。您必须改用 MSA。

来源：http://blogs.msdn.com/b/sqlostteam/archive/2014/02/19/msa-accounts-used-with-sql.aspx