Пример создания учетной записи gMSA

Создание gMSA (в примере создается УЗ с именем M001-gMSA_Name):

New-ADServiceAccount M0001-gMSA_Name -DNSHostName M0001-gMSA_Name@MyDomain.local -PrincipalsAllowedToRetrieveManagedPassword «G0001MSA-Группа доступа» -ManagedPasswordIntervalInDays 30 -KerberosEncryptionType AES256 -Path «OU=gMSA,OU=Сервисные учётные записи,OU=Служебные,OU=XXX,OU=My Domain,DC=mydomain,DC=local»

где XXX — OU предприятия

В качестве —PrincipalsAllowedToRetrieveManagedPassword
рекомендуется указывать группу безопасности, в которую входят серверы, где планируется использоваться gMSA. Вместо группы может указываться объект компьютера (сервер) в формате DistinguishedName. Несколько серверов в параметре PrincipalsAllowedToRetrieveManagedPassword указывается через запятую.

Параметр RestrictToSingleComputer для создания MSA не использовать

 Установка gMSA на сервер (выполняется непосредственно на сервере):

Install-ADServiceAccount -Identity M001-gMSA_Name

Для выполнения операции требуется наличие модуля «Active Directory для Windows PowerShell», при отсутствии необходимо установить

Install-WindowsFeature -Name «RSAT-AD-PowerShell»