gMSA Group Managed Service Account
Tjänstekonto vars lösenord genereras och roteras av domänkontrollanterna själva, och hämtas automatiskt av de servrar som fått rätt att använda det. Ingen människa ser det någonsin.
Problemet det löser är välkänt: ett tjänstekonto med ett lösenord som står i en konfigurationsfil, är känt av tre personer som slutat, och aldrig bytts eftersom ingen vet vad som går sönder då. Ett gMSA får ett 240 tecken långt lösenord som byts automatiskt, normalt var trettionde dag, och de maskiner som listats i PrincipalsAllowedToRetrieveManagedPassword hämtar det vid behov. Angreppsytan flyttas därmed till den listan — är gruppen för brett satt kan vem som helst i den läsa ut lösenordsblobben med verktyg som gMSADumper. Det finns dessutom en variant kallad Golden gMSA där hela nyckelmaterialet härleds ur KDS-rotnyckeln, vilket ger alla gMSA-lösenord i domänen på en gång.