gMSA
Un account di servizio la cui password è generata e ruotata dagli stessi domain controller e recuperata automaticamente dai server autorizzati a usarla. Nessun essere umano la vede mai.
Il problema che risolve è noto: un account di servizio con la password in un file di configurazione, conosciuta da tre persone nel frattempo andate via e mai cambiata perché nessuno sa che cosa si romperebbe. Un gMSA riceve una password di 240 caratteri ruotata automaticamente, di norma ogni trenta giorni, e le macchine elencate in PrincipalsAllowedToRetrieveManagedPassword la recuperano quando serve. La superficie d'attacco si sposta quindi su quell'elenco: se il gruppo è troppo ampio, chiunque ne faccia parte può estrarre il blob della password con strumenti come gMSADumper. Esiste inoltre la variante Golden gMSA, in cui tutto il materiale crittografico deriva dalla KDS root key, rendendo ricavabili in un colpo solo le password di ogni gMSA del dominio.