在没有PrincipalsAllowedToRetrieveManagedPassword的情况下为Azure AD域服务创建gMSA似乎不起作用

Question

我有一个Azure AD域服务域，需要创建一个gMSA（组托管服务帐户）。

我将https://docs.microsoft.com/de-de/azure/active-directory-domain-services/create-gmsa中的示例与我的域名一起使用

# Create a new custom OU on the managed domain
New-ADOrganizationalUnit -Name "MyNewOU" -Path "DC=CONTOSO100,DC=COM"

# Create a service account 'WebFarmSvc' within the custom OU.
New-ADServiceAccount -Name WebFarmSvc  `
-DNSHostName ` WebFarmSvc.contoso100.com  `
-Path "OU=MYNEWOU,DC=CONTOSO100,DC=com"  `
-KerberosEncryptionType AES128, AES256  ` -ManagedPasswordIntervalInDays 30  `
-ServicePrincipalNames http/WebFarmSvc.contoso100.com/contoso100.com, `
http/WebFarmSvc.contoso100.com/contoso100,  `
http/WebFarmSvc/contoso100.com, http/WebFarmSvc/contoso100

示例代码还包括：

-PrincipalsAllowedToRetrieveManagedPassword CONTOSO-SERVER$

我不知道我必须在这里放入什么，Microsoft Doc也没有说它如何获得“ CONTOSO-SERVER $”对象。所以我忽略了它。

如果我忽略它，那么创建似乎成功了。之后，我会在Active Directoy用户和计算机的组织部门中看到我的gMSA。

但是当我测试帐户时，我得到了

因此，PrincipalsAllowedToRetrieveManagedPassword似乎很重要。如何使用Azure AD域服务使它正常工作？

Answer 1

我在新的组织单位中手动创建了一个组，将主机添加到其中，然后重新启动了主机。

只有然后Test-ADServiceAccount WebFarmSvc成功：