Delegated Managed Service Accounts in Windows Server 2025 Schritt-für-Schritt-Migration klassischer Dienstkonten zu dMSA

Anbieter zum Thema

Aagon GmbH

Delegated Managed Service Accounts (dMSA) verändern mit Windows Server 2025 die technische Grundlage für Dienstidentitäten im Active Directory. Der neue Kontotyp ersetzt statische Kennwörter durch gerätegebundene Ker­be­ros-Anmeldungen und integriert Migration, Betrieb und Überwachung in einen durchgängigen Ablauf zum produktiven Einsatz in Domänen.

Delegierte verwaltete Dienstkonten (dMSA) binden die Anmeldung eines Dienstes an die Identität eines autorisierten Computers. Die Authentifizierung erfolgt über Kerberos, das verwaltete Kennwort leitet der Key Distribution Service zeitabhängig aus kryptografischem Material ab. Ein Domänencontroller stellt dieses Kennwort ausschließlich Hosts bereit, die explizit im Attribut „PrincipalsAllowedToRetrieveManagedPassword“ hinterlegt sind. Der Ansatz eignet sich sowohl für neue Dienste ohne lokale Kennwortablage als auch für die kontrollierte Ablösung klassischer Dienstkonten.

Das sind die Vorteile von Delegated Managed Service Accounts

Für Unternehmen ergibt sich daraus ein unmittelbarer operativer und sicherheitstechnischer Nutzen, da dMSA die Abhängigkeit von statischen Zugangsdaten vollständig auflöst und damit einen zentralen Angriffsvektor klassischer Dienstkonten entfernt. Dienste profitieren von automatisierter Schlüsselrotation ohne Betriebsunterbrechung, wodurch interne Vorgaben zu Kennwortlebenszyklen ohne Sonderprozesse eingehalten werden. Die enge Bindung an konkrete Rechneridentitäten reduziert das Risiko lateral nutzbarer Anmeldeinformationen und begrenzt Missbrauch auf explizit autorisierte Systeme.