部署 AD RMS 等服務時，常需建立專用服務帳戶並定期輪換密碼，管理負擔較重。Windows Server 2008 R2 引入受控服務帳戶，將密碼管理完全委派給作業系統，大幅降低維運成本。

什麼是受控服務帳戶 (MSA)？

• 定義： 由作業系統自動建立、維護、定期輪換複雜密碼的網域帳戶，管理員無須知道密碼。
• 適用範圍： 單一電腦上的單一服務（不可跨電腦共用）。
• 優勢： 服務隔離、自動密碼輪換降低中斷風險、降低 TCO、支援 SPN 自動管理、允許服務帳戶重新命名。

建立與部署 MSA 完整流程

前置需求

• 網域功能等級至少為 Windows Server 2008 R2。
• 至少一台 Windows Server 2008 R2 / Windows 7 以上的成員伺服器或用戶端（用於安裝 MSA）。
• 具備網域管理員權限。

步驟 1：在網域控制站建立 MSA 帳戶

1. 登入 DC，以系統管理員身分開啟 PowerShell。
2. 匯入 AD 模組：Import-Module ActiveDirectory
3. 建立 MSA：

New-ADServiceAccount -Name "RMS_Svc" -DNSHostName "rms-svc.corp.contoso.com" -Enabled $true

• -Name：帳戶名稱（SAMAccountName）。
• -DNSHostName：完整 DNS 主機名稱（需存在對應的 DNS A 記錄）。
• 若需指定儲存容器：-Path "OU=ServiceAccounts,DC=corp,DC=contoso,DC=com"

步驟 2：在目標伺服器安裝 MSA

1. 登入將執行服務的成員伺服器（如 RMS 伺服器），以系統管理員身分開啟 PowerShell。
2. 匯入 AD 模組：Import-Module ActiveDirectory
3. 安裝 MSA：

Install-ADServiceAccount -Identity "RMS_Svc"

若回傳 True 表示安裝成功。此步驟會在本機建立私鑰、註冊 SPN、設定自動密碼輪換排程。

步驟 3：將服務設定為使用 MSA 帳戶

1. 開啟 服務 管理單元（services.msc）。
2. 找到目標服務（如 AD RMS），右鍵 → 內容 → 登入 索引標籤。
3. 選擇 這個帳戶 → 瀏覽。
4. 在「輸入要選取的物件名稱」輸入 RMS_Svc$（帳戶名稱後必須加 $ 符號），點選 檢查名稱 解析完成後按確定。
5. 密碼欄位留空（系統自動管理），確定套用。
6. 重新啟動服務生效。

進階補充：群組受控服務帳戶 (gMSA)

Windows Server 2012 引入 gMSA，支援多台伺服器共用同一組服務帳戶（適用於叢集、NLB、負載平衡場景）。建立方式類似，改用 New-ADServiceAccount -Name "gMSA_Name" -DNSHostName "..." -KerberosEncryptionType AES256 -ManagedPasswordIntervalInDays 30 -PrincipalsAllowedToRetrieveManagedPassword "Allowed_Group"。若環境為 2012 以上，優先考慮 gMSA。

最佳實務建議

• 為每個關鍵服務建立獨立 MSA，避免單一帳戶洩露影響面過大。
• 定期檢視 Get-ADServiceAccount -Identity "RMS_Svc" -Properties * 確認 LastLogon、PasswordLastSet、Enabled 狀態。
• 備份 MSA 所在 OU 的 AD 資料，災難復原時可快速還原服務帳戶。