gMSA
Conta de serviço cuja senha é gerada e trocada pelos próprios controladores de domínio e buscada automaticamente pelos servidores autorizados a usá-la. Nenhum humano chega a vê-la.
O problema que ela resolve é conhecido: uma conta de serviço com a senha num arquivo de configuração, sabida por três pessoas que já saíram da empresa e nunca trocada porque ninguém sabe o que vai quebrar. Uma gMSA recebe uma senha de 240 caracteres trocada automaticamente, normalmente a cada trinta dias, e as máquinas listadas em PrincipalsAllowedToRetrieveManagedPassword a buscam quando precisam. A superfície de ataque, portanto, se desloca para essa lista: se o grupo for amplo demais, qualquer membro pode extrair o blob da senha com ferramentas como o gMSADumper. Existe ainda uma variante chamada Golden gMSA, em que todo o material de chaves é derivado da KDS root key, o que entrega de uma vez as senhas de todas as gMSAs do domínio.