Si il y a bien une chose que j'essaie de pousser dans un environnement Active Directory, c'est de supprimer les comptes avec un mot de passe qui n'expire jamais, utilisés pour exécuter des tâches planifiées; pour les remplacer par des gMSA.
Souvent mal appréhendé, je vais ici vous montrer qu'il n'y a quasiment pas de différence dans l'utilisation.
Créer une tâche
Via GUI
Pour créer une tâche en mode graphique, on ne change pas les habitudes.
Dans un premier temps on lance le Task Scheduler
Puis on créé un tâche que l'ion va nommer
On lui définit ses paramètres
Bon jusque la rien de différent de ce que vous avez l'habitude de faire.
Passons donc à la suite, éditez la tâche.
Et à partir d'ici remplaçons notre compte par le gMSA.
Donc on sélectionne "Change User or Group..." et on s'assure de rechercher sur le domaine donc on sélectionne "Location"
On sélectionne "Entire Directory" et on valide
à partir de la on va sélectionner "Object Types..."
Et tout désélectionner sauf "Service Accounts" puis on valide
Enfin on recherche son gMSA et on valide
Et voilà, comme quoi il n'y a rien de plus simple car, on s'évite même de devoir gérer les identifiants du compte de service.
Via Powershell
$TaskAction = New-ScheduledTaskAction -Execute C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -Argument "-File C:\Temp\ImportPfx.ps1"
$TaskTrigger = New-ScheduledTaskTrigger -At 00:00 -Once # vous pouvez utiliser d'autre valeurs selon vos besoin Par exemple Daily
$TaskPrincipal = New-ScheduledTaskPrincipal -UserID Lab\gMSA01$ -LogonType Password
Register-ScheduledTask MygMSATask –Action $TaskAction –Trigger $TaskTrigger –Principal $TaskPrincipal
Modifier un tâche
Via GUI
Souvent, la première fois qu'on y fait face c'est un peu déroutant, car lors de la modification de la tâche le popup demandant les identifiants arrive.
Pour éviter cela rien de plus simple, ouvrez votre tâche planifié.
Modifiez vos paramètres, par exemple ici nouds allons modifier l'heure d'exécution.
Une fois modifié, nous validons avec "Ok", puis nous retournerons sur le menu "General"
Puis comme nous l'avons fais lors de la création de la tâche planifiée, donc on sélectionne "Change User or Group..." et on s'assure de rechercher sur le domaine donc on sélectionne "Location"
On sélectionne "Entire Directory" et on valide
à partir de la on va sélectionner "Object Types..."
Et tout désélectionner sauf "Service Accounts" puis on valide
Enfin on recherche son gMSA et on valide
Et enfin on sélectionne "Ok"
Via Powershell
$Task = Get-ScheduledTask -TaskName MygMSATask
$Time = New-ScheduledTaskTrigger -At 21:00 -Once
$TaskPrincipal = New-ScheduledTaskPrincipal -UserID Lab\gMSA01$ -LogonType Password
Set-ScheduledTask -TaskName $Task.TaskName -Trigger $Time -Principal $TaskPrincipal