Сохранение создаёт черновик. Оно не меняет учётную запись службы, права,
пароли в AD или текущие сеансы. Применение будет доступно после подключения исполнителя.
1. Подключение к контроллеру домена
2. Размещение новых пользователей
Выберите OU или контейнер и группы безопасности. Существующие пользователи не перемещаются. Чтение каталога не подтверждает права на создание и изменение объектов.
3. Существующий пользователь AD
Подготовка привязки к клиенту. Пароль и группы пользователя в AD не изменяются. Одна учётная запись AD может быть выбрана только для одного клиента.
Клиент не выбран.
Как подготовить служебную учётную запись
- Создайте отдельную OU для онлайн-пользователей. Не используйте административные или общие рабочие учётные записи.
- Создайте выделенного пользователя службы либо gMSA. Не включайте его в Domain Admins или локальные администраторы.
- Делегируйте создание объектов User только в выбранной OU, чтение и необходимые изменения атрибутов, а также Reset Password. Не выдавайте удаление объектов или Full Control.
- На каждой разрешённой группе отдельно делегируйте изменение атрибута member. Чтение списка групп не означает право менять их состав.
- Для существующего пользователя вне OU делегируйте необходимые права на сам объект. Привязка не должна давать права на весь домен.
- На сервере исполнителя назначьте Log on as a service. Защитите каталоги программы и журнала. Пароль обычной учётной записи задавайте через свойства службы, не через командную строку.
- Настройте LDAPS с доверенным сертификатом на FQDN контроллера. Проверку сертификата не отключайте.
В этой версии gMSA можно сохранить в настройках, но проверка от её имени требует отдельной службы. Учётная запись веб-сервера вместо неё не используется.