Windows Server 2008 R2 受控服務帳戶 (MSA) 部署實戰：自動密碼管理、SPN 維護、AD RMS 服務帳號建立

Windows Server 2008 R2 引入受控服務帳戶 (Managed Service Account, MSA)，解決服務帳號密碼定期輪換、SPN 手動維護痛點。MSA 密碼由系統自動產生、定期輪換 (預設 30 天)、無需管理員介入，且支援服務重新命名自動更新 SPN。本文實戰示範為 AD RMS 建立 MSA 服務帳號完整流程。

MSA 核心優勢

• 自動密碼管理：系統產生複雜密碼、定期輪換、管理員無需知悉
• 服務隔離：每服務/每伺服器專屬 MSA，不可跨電腦共用
• 降低 TCO：消除密碼到期導致服務中斷、減少人工維運
• SPN 自動維護：支援伺服器重新命名時自動更新服務主體名稱 (需網域功能等級 Server 2008 R2 以上)

部署前提

• 網域功能等級 ≥ Windows Server 2008 R2
• 目標伺服器為網域成員、執行 Windows Server 2008 R2 / Windows 7 以上
• 具備網域管理員權限

三步驟建立並指派 MSA

1. 在 DC 上建立 MSA (PowerShell)

Import-Module ActiveDirectory
New-ADServiceAccount -Name "RMS_SVC" -Enabled $true -Description "AD RMS 服務帳號"

2. 在目標伺服器安裝 MSA (PowerShell)

Import-Module ActiveDirectory
Install-ADServiceAccount -Identity "RMS_SVC"

若報錯請確認：DC 可連線、DNS 解析正確、目標伺服器已加入網域

3. 指派服務使用 MSA

1. 開啟「服務」 (services.msc)
2. 找到目標服務 (如 Active Directory Rights Management Services) → 右鍵「內容」
3. 「登入」索引標籤 → 選「這個帳號」 → 「瀏覽」 → 輸入 RMS_SVC → 「檢查名稱」 → 確定
4. 密碼欄位留白 (系統自動填入) → 確定 → 重新啟動服務

注意事項：
- MSA **不可** 用於叢集服務 (叢集需使用群組受控服務帳戶 gMSA，Server 2012 引入)
- MSA **不可** 跨電腦共用，每台伺服器每服務需個別建立/安裝
- 若網域功能等級提升至 Server 2012，建議遷移至 gMSA 以支援叢集與多伺服器場景