gMSA(group Managed Service Account)

パスワードの自動生成・自動更新とSPN管理の簡素化を提供するActive Directoryドメインのサービスアカウント。ドメインコントローラー側のKDSルートキーの準備を前提とする。

概念URI

https://comcomponent.com/knowledge/gmsa/

別名・表記

グループ管理サービスアカウント

最終確認日

2026-08-01

機械可読データ

JSON-LD

この概念が関わる関係

• gMSA(group Managed Service Account)はWindowsサービスに対する本記事の推奨です。ドメイン環境で長期運用するサービスの実行アカウントには、パスワードをOSが自動管理するgMSAが推奨される / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)はActive Directory(AD DS)を前提とします。gMSAはActive Directoryドメインのアカウントであり、ワークグループ環境では選択肢にならない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)はドメインコントローラーを前提とします。gMSAのパスワード生成には、ドメインコントローラー側のKDS(Key Distribution Service)ルートキーが必要 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• SecretStoreモジュールはgMSA(group Managed Service Account)と両立しません。SecretManagementは$env:LOCALAPPDATAとDPAPIに依存しており、プロファイルを持たないgMSAのような管理されたアカウントでは動作しない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)は平文パスワードの埋め込みリスクに対する本記事の推奨です。実行アカウント自体に接続先の権限を与え、gMSAでパスワード管理をOSに任せることが最優先の現実解になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)はActive Directory(AD DS)を前提とします。gMSAはドメインの管理されたアカウントであり、Active Directoryのドメイン機能を前提とする / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• タスクスケジューラの無人実行はgMSA(group Managed Service Account)を利用します。gMSAを実行アカウントに選ぶ場合、Windowsサービスだけでなくタスクスケジューラのタスクの実行アカウントにも使える / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)はWindowsサービスに対する本記事の推奨です。ドメインで共有やDBに触るサービスには、パスワードをドメイン側が自動管理するgMSAが本命とされる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)は「バッチ ジョブとしてログオン」の権利を前提とします。gMSAをタスクスケジューラの該当ログオン種別で使う場合は「バッチ ジョブとしてログオン」の権利が必要で、gMSAだからといって免除されるわけではない。Windowsサービスの実行アカウントに使う場合に必要なのはサービスとしてのログオン権である / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)はログオン種別(LogonType)で構成できます。タスクスケジューラのプリンシパルとしてgMSAを使う場合、LogonTypeにはPasswordを指定するが、パスワードそのものは渡さない / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)はドメインコントローラーを前提とします。gMSAのパスワードはドメインコントローラーが自動管理し、許可されたホストがそれを取得する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• タスクスケジューラの無人実行はgMSA(group Managed Service Account)を利用します。実行アカウントにgMSAを選ぶ場合、タスクスケジューラはそれを実行アカウントとしてサポートする / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• gMSA(group Managed Service Account)はPowerShellのScheduledTasksモジュールで構成できます。タスクスケジューラのプリンシパルとしてgMSAを指定する場合、New-ScheduledTaskPrincipalの-UserIdと-LogonTypeを使う / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典

この概念を扱う記事

• ネットワークドライブとUNCパスの落とし穴 ── 業務アプリでファイルサーバー(共有フォルダ)を扱う実務(言及)
• PowerShellでの資格情報の安全な扱い ── 平文パスワードをスクリプトから追放する(言及)
• Windowsサービスの作り方と運用 ── タスクスケジューラとの使い分けからBackgroundServiceのサービス化まで(言及)
• タスクスケジューラのタスクが実行されない・0x1で終わる ── 原因の切り分けと安全な運用設計(言及)

一次資料

• https://learn.microsoft.com/windows-server/identity/ad-ds/manage/group-managed-service-accounts/group-managed-service-accounts/group-managed-service-accounts-overview

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。