Configurer un compte de service géré de groupe pour une utilisation avec Devolutions Server

Cet article contient les étapes pour configurer un compte de service géré de groupe (gMSA) avec Devolutions Server. Cela est possible uniquement pour les systèmes d'exploitation Windows.

Les valeurs d'environnement dans ce guide (p. ex., dvls01.domain.local) sont des espaces réservés, remplacez-les par les valeurs spécifiques de votre environnement.

1. Créez une clé racine KDS. Faites-le sur le contrôleur de domaine s'il s'agit de votre première utilisation d'un gMSA.

   Add-KdsRootKey –EffectiveTime ((Get-Date).AddHours(-10))

2. Créez un groupe Active Directory pour les hôtes autorisés de Devolutions Server.

   New-ADGroup -Name "DVLS Authorized Hosts" -SamAccountName "DVLSHosts" -GroupScope DomainLocal

3. Créez un gMSA sur le contrôleur de domaine.

   New-ADServiceAccount -Name "DVLS_Runner" -DnsHostName "dvls01.domain.local"
   -ServicePrincipalNames "http/DVLS_Runner.domain.local" `
   -PrincipalsAllowedToRetrieveManagedPassword "DVLSHosts"
   
   New-ADServiceAccount -Name "DVLS_Sched" -DnsHostName "dvls01.domain.local"
   -ServicePrincipalNames "sched/DVLS_Sched.domain.local" `
   -PrincipalsAllowedToRetrieveManagedPassword "DVLSHosts"

4. Ajoutez le compte d'ordinateur DVLS01 au groupe DVLSHosts. Les ordinateurs devront être redémarrés après cette étape; vous pouvez le faire via Utilisateurs et ordinateurs d'Active Directory ou en utilisant PowerShell.
5. Sur DVLS01, installez les gMSA. Le module PowerShell Active Directory est requis.

   Install-ADServiceAccount DVLS_Runner
   Install-ADServiceAccount DVLS_Sched

6. Configurez le pool d'applications IIS pour qu'il s'exécute en tant que domain.local\DVLS_Runner$. Accordez les droits d'ouverture de session en tant que lot : assignez Ouvrir une session en tant que tâche de lot dans la Stratégie de groupe ou ajoutez le compte DVLS_Runner$ au groupe IIS_IUSRS.

   Les champs de mot de passe demeureront vides, ce qui est le comportement attendu pour un gMSA.
7. Configurez le service du planificateur de Devolutions :

   • Ouvrez la console Services de Windows (services.msc).
   • Faites un clic droit sur DevolutionsSchedulerService, puis cliquez sur Propriétés – onglet Connexion.
   • Cochez Ce compte, et entrez domain.local\DVLS_Sched$.
   • Cliquez sur Parcourir pour trouver le compte.
   • Laissez les champs de mot de passe vides.

   La permission Ouvrir une session en tant que service est accordée automatiquement pour les gMSA.
8. Accordez les permissions à la base de données dans la console Devolutions Server.

   • Naviguez vers Administration – Modifier – Base de données – Identifiants avancés.
   • Activez Appliquer les permissions minimales.
   • Définissez les comptes DVLS_Runner$ et DVLS_Sched$ dans leurs champs respectifs.
9. Redémarrez DVLS01, confirmez que le pool d'applications et le planificateur démarrent correctement, et assurez-vous que l'interface web de Devolutions Server et les tâches en arrière-plan fonctionnent correctement.