gMSA・覚えていますか？ ～Entra IDとADサービスアカウント～ | なごあず10

なごあず10/gMSA・覚えていますか？ gMSA・ 覚えていますか ～Entra IDと ADサービスアカウント～ Toruneko（トルねこ） 教育機関の共用PC環境管理 2026/10/17 1

これまでの、あらすじ • 教育機関の共用PC：約500台/利用者：約1万人 • FSLogix Profile ContainerをオンプレFS 6台で運用 • Entra Kerberosを利用したProfileのセルフリセットを 個人的に検討（すきやねんAzure#41で紹介） • AVD向け管理ツールのNerdioさんから 「管理ポータルを使わせてあげたい」と。 • ただしクラウド向け製品、今回の環境には使えない • でも、複数FSを一か所で見れたら便利！ • では、どうやって複数FSから情報を取得する？ 2026/10/17 なごあず10/gMSA・覚えていますか？ 2

そういえば、gMSA • 複数のFSから情報を取得する→どのIDで実行する？ • オンプレADの管理者アカウントで定期実行はしたくない • そういえば、Microsoft Defender for Identity（MDI）の調査で見かけたgMSA • MDI：オンプレAD DSにも対応するクラウド型ID保護製品 • 海外MS Q＆A：クラウド側の修復操作でオンプレADアカウントが無効化された事例 「Defender for Identity Radius Aad Syncer Disabling User Accounts - Not Sure Why?」 • 修復操作(無効化)の実行主体は？→DC上のLocalSystemなど • ADの情報参照用DSA（Directory Service Account）は？→gMSAを使用（Sensor v2.x） • gMSA：Group Managed Service Account • オンプレAD DSがパスワードを管理するService Identity • クラウドで例えるならAzureのマネージドIDに近い存在（※仕組みは別） ? • FSLogix Profile Containerは、FSのSMB共有に保存 • gMSAでアクセスできる？ 2026/10/17 なごあず10/gMSA・覚えていますか？ 3

とりあえず、監視用gMSA • Hybrid Join環境を構築した検証用テナント • FSLogix Profile ContainerをオンプレFSのSMB共有に保存 • オンプレAD DS で gMSA を管理 • 検証用DCから監視用gMSAでFSへアクセス • gMSA-FSMonitor$ でPowerShellを実行 • Kerberos認証でSMB共有へアクセス • 複数FSのファイル情報を一括取得・表示できた • ファイル一覧・容量・最終更新日時を取得 • DC上でCSVに統合し、Out-GridViewで一覧表示 • FSへRDPせず、ファイル情報を確認できた →でも、SMBサーバーの管理情報は取得できない 2026/10/17 なごあず10/gMSA・覚えていますか？ 4

見るだけ、のはずが管理用gMSA • 監視用gMSAではSMB管理情報を取得できない • 監視用gMSA で Get-SmbOpenFile → アクセス拒否 • 管理用gMSAを追加作成 • オンプレAD DS に gMSA-FSAdmin$ を 作成 • オンプレFS 上で実行し、ローカルAdministrators権限を付与 • SMB Open Handleの取得に成功！ • 開いているファイル・接続ユーザー・端末を確認 • Out-GridViewで一覧表示 • 特定の Open HandleのCloseも確認（テストファイル） 2026/10/17 項目 意味 FileId Open Handleの識別子 ClientUserName 接続ユーザー ClientComputerName 接続元端末・IPアドレス ShareRelativePath 開いているファイルの共有パス Locks ロック数 なごあず10/gMSA・覚えていますか？ 5

もしかして、管理用ポータル？ • 最初は、複数FSの情報を一か所で見たかっただけ • 監視用gMSAでファイル情報を一括収集 • 管理用gMSAではOpen Handleの取得・Closeにも成功 • 以前から検討していたProfileセルフリセットにも使えそう • 「使用中のファイルを削除できない」問題への対応手段に • gMSA ＋ PowerShell ＋ Out-GridViewで一括管理する仕組み →管理ポータルが作れそう？ !! …って誰か既に作ってない？ 2026/10/17 なごあず10/gMSA・覚えていますか？ 6

ありました、管理ツール Profile Toolkit for FSLogix ・Microsoft 非公式・無償のコミュニティツール • FSLogix Profile Containerの管理を支援 • Profile Reset / Health Check • v1.4でオンプレFSのSMB共有を直接スキャンする機能拡張 • 本学のオンプレFS環境で使えるか、今後検証予定 参考：GitHub ― DrazenNikolic/Profile-Toolkit-for-FSLogix 出典：Drazen Nikolic, LinkedIn,2026/05/30 今回のまとめ：（管理ポータルについては既存ツールに期待する事にして） 管理用ポータルが欲しくなって、ADサービスアカウントについて調べてみたら Entra Kerberos認証によるProfileセルフリセットの検証が進んでしまった お話でした！ このツールご存知の方、ぜひ情報交換させてください！ 2026/10/17 なごあず10/gMSA・覚えていますか？ 7

参考資料 ① gMSA（Group Managed Service Account） Microsoft Learn：グループの管理されたサービス アカウントの概要 https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/manage/groupmanaged-service-accounts/group-managed-service-accounts/getting-started-withgmsa ② Microsoft Defender for Identityの修復操作 Microsoft Learn：Microsoft Defender for Identityで修復アクションを構成する https://learn.microsoft.com/ja-jp/defender-for-identity/manage-action-accounts ③ 海外Microsoft Q&A（今回のきっかけ） Defender for Identity Radius Aad Syncer Disabling User Accounts - Not Sure Why? https://learn.microsoft.com/en-us/answers/questions/2132731/defender-for-identityradius-aad-syncer-disabling ④ Profile Toolkit for FSLogix GitHub：DrazenNikolic / Profile-Toolkit-for-FSLogix https://github.com/DrazenNikolic/Profile-Toolkit-for-FSLogix 2026/10/17 なごあず10/gMSA・覚えていますか？ 8

• https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/manage/group-managed-service-accounts/group-managed-service-accounts/getting-started-with-gmsa
• https://learn.microsoft.com/ja-jp/defender-for-identity/manage-action-accounts
• https://learn.microsoft.com/en-us/answers/questions/2132731/defender-for-identity-radius-aad-syncer-disabling
• https://github.com/DrazenNikolic/Profile-Toolkit-for-FSLogix

情報交換、お願いします X Docswell GitHub 日々の検証・LTのお知らせ LT資料を公開していきます これから少しずつ… 2026/10/17 なごあず10/gMSA・覚えていますか？ 9