gMSA Group Managed Service Account
Ein Dienstkonto, dessen Kennwort von den Domänencontrollern selbst erzeugt und rotiert wird und automatisch von den Servern abgerufen wird, die zur Nutzung berechtigt sind. Kein Mensch bekommt es je zu Gesicht.
Das Problem, das es löst, ist bekannt: ein Dienstkonto mit einem Kennwort, das in einer Konfigurationsdatei steht, das drei mittlerweile ausgeschiedene Mitarbeiter kennen und das nie geändert wurde, weil niemand weiß, was dann kaputtgeht. Ein gMSA erhält ein 240 Zeichen langes Kennwort, das automatisch wechselt, normalerweise alle dreißig Tage, und die in PrincipalsAllowedToRetrieveManagedPassword aufgeführten Maschinen rufen es bei Bedarf ab. Die Angriffsfläche verschiebt sich damit auf genau diese Liste — ist die Gruppe zu weit gefasst, kann jeder darin den Kennwort-Blob mit Werkzeugen wie gMSADumper auslesen. Es gibt außerdem eine Variante namens Golden gMSA, bei der das gesamte Schlüsselmaterial aus dem KDS-Root-Key abgeleitet wird, was auf einen Schlag sämtliche gMSA-Kennwörter der Domäne liefert.