---
title: gMSA・覚えていますか？ ～Entra IDとADサービスアカウント～ | なごあず10
tags:  #gmsa #active directory #fslogix #powershell #smb #entra id  
author: [Toruneko](https://docswell.com/user/projectEE)
site: [Docswell](https://www.docswell.com/)
thumbnail: https://bcdn.docswell.com/page/LE1YN1YV7G.jpg?width=480
description: なごあず10で発表した、オンプレミスAD DSのgMSA（Group Managed Service Account）を利用した個人検証の資料です。複数のFSLogixファイルサーバーからファイル情報を一括取得し、SMB Open Handleの取得・Closeまで試した結果を紹介しています。また、FSLogix Profile Containerの管理を支援する無償コミュニティツール「Profile Toolkit for FSLogix」についても紹介しています。
published: October 19, 26
canonical: https://docswell.com/s/projectEE/5N73QR-2026-10-19-082020
---
# Page. 1

![Page Image](https://bcdn.docswell.com/page/LE1YN1YV7G.jpg)

なごあず10/gMSA・覚えていますか？
gMSA・
覚えていますか
～Entra IDと
ADサービスアカウント～
Toruneko（トルねこ）
教育機関の共用PC環境管理
2026/10/17
1


# Page. 2

![Page Image](https://bcdn.docswell.com/page/GEWG48G3J2.jpg)

これまでの、あらすじ
• 教育機関の共用PC：約500台/利用者：約1万人
• FSLogix Profile ContainerをオンプレFS 6台で運用
• Entra Kerberosを利用したProfileのセルフリセットを
個人的に検討（すきやねんAzure#41で紹介）
• AVD向け管理ツールのNerdioさんから
「管理ポータルを使わせてあげたい」と。
• ただしクラウド向け製品、今回の環境には使えない
• でも、複数FSを一か所で見れたら便利！
• では、どうやって複数FSから情報を取得する？
2026/10/17
なごあず10/gMSA・覚えていますか？
2


# Page. 3

![Page Image](https://bcdn.docswell.com/page/47ZL28LGJ3.jpg)

そういえば、gMSA
• 複数のFSから情報を取得する→どのIDで実行する？
• オンプレADの管理者アカウントで定期実行はしたくない
• そういえば、Microsoft Defender for Identity（MDI）の調査で見かけたgMSA
• MDI：オンプレAD DSにも対応するクラウド型ID保護製品
• 海外MS Q＆A：クラウド側の修復操作でオンプレADアカウントが無効化された事例
「Defender for Identity Radius Aad Syncer Disabling User Accounts - Not Sure Why?」
• 修復操作(無効化)の実行主体は？→DC上のLocalSystemなど
• ADの情報参照用DSA（Directory Service Account）は？→gMSAを使用（Sensor v2.x）
• gMSA：Group Managed Service Account
• オンプレAD DSがパスワードを管理するService Identity
• クラウドで例えるならAzureのマネージドIDに近い存在（※仕組みは別）
?
• FSLogix Profile Containerは、FSのSMB共有に保存
• gMSAでアクセスできる？
2026/10/17
なごあず10/gMSA・覚えていますか？
3


# Page. 4

![Page Image](https://bcdn.docswell.com/page/YJ6WVPWQJV.jpg)

とりあえず、監視用gMSA
• Hybrid Join環境を構築した検証用テナント
• FSLogix Profile ContainerをオンプレFSのSMB共有に保存
• オンプレAD DS で gMSA を管理
• 検証用DCから監視用gMSAでFSへアクセス
• gMSA-FSMonitor$ でPowerShellを実行
• Kerberos認証でSMB共有へアクセス
• 複数FSのファイル情報を一括取得・表示できた
• ファイル一覧・容量・最終更新日時を取得
• DC上でCSVに統合し、Out-GridViewで一覧表示
• FSへRDPせず、ファイル情報を確認できた
→でも、SMBサーバーの管理情報は取得できない
2026/10/17
なごあず10/gMSA・覚えていますか？
4


# Page. 5

![Page Image](https://bcdn.docswell.com/page/GJ5MDKM2J4.jpg)

見るだけ、のはずが管理用gMSA
• 監視用gMSAではSMB管理情報を取得できない
• 監視用gMSA で Get-SmbOpenFile → アクセス拒否
• 管理用gMSAを追加作成
• オンプレAD DS に gMSA-FSAdmin$ を 作成
• オンプレFS 上で実行し、ローカルAdministrators権限を付与
• SMB Open Handleの取得に成功！
• 開いているファイル・接続ユーザー・端末を確認
• Out-GridViewで一覧表示
• 特定の Open HandleのCloseも確認（テストファイル）
2026/10/17
項目
意味
FileId
Open Handleの識別子
ClientUserName
接続ユーザー
ClientComputerName
接続元端末・IPアドレス
ShareRelativePath
開いているファイルの共有パス
Locks
ロック数
なごあず10/gMSA・覚えていますか？
5


# Page. 6

![Page Image](https://bcdn.docswell.com/page/LE3WMZW1E5.jpg)

もしかして、管理用ポータル？
• 最初は、複数FSの情報を一か所で見たかっただけ
• 監視用gMSAでファイル情報を一括収集
• 管理用gMSAではOpen Handleの取得・Closeにも成功
• 以前から検討していたProfileセルフリセットにも使えそう
• 「使用中のファイルを削除できない」問題への対応手段に
• gMSA ＋ PowerShell ＋ Out-GridViewで一括管理する仕組み
→管理ポータルが作れそう？
!!
…って誰か既に作ってない？
2026/10/17
なごあず10/gMSA・覚えていますか？
6


# Page. 7

![Page Image](https://bcdn.docswell.com/page/8EDK6RKK7G.jpg)

ありました、管理ツール
Profile Toolkit for FSLogix
・Microsoft 非公式・無償のコミュニティツール
• FSLogix Profile Containerの管理を支援
• Profile Reset / Health Check
• v1.4でオンプレFSのSMB共有を直接スキャンする機能拡張
• 本学のオンプレFS環境で使えるか、今後検証予定
参考：GitHub ― DrazenNikolic/Profile-Toolkit-for-FSLogix
出典：Drazen Nikolic, LinkedIn,2026/05/30
今回のまとめ：（管理ポータルについては既存ツールに期待する事にして）
管理用ポータルが欲しくなって、ADサービスアカウントについて調べてみたら
Entra Kerberos認証によるProfileセルフリセットの検証が進んでしまった
お話でした！
このツールご存知の方、ぜひ情報交換させてください！
2026/10/17
なごあず10/gMSA・覚えていますか？
7


# Page. 8

![Page Image](https://bcdn.docswell.com/page/V7PKYWK3J8.jpg)

参考資料
① gMSA（Group Managed Service Account）
Microsoft Learn：グループの管理されたサービス アカウントの概要
https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/manage/groupmanaged-service-accounts/group-managed-service-accounts/getting-started-withgmsa
② Microsoft Defender for Identityの修復操作
Microsoft Learn：Microsoft Defender for Identityで修復アクションを構成する
https://learn.microsoft.com/ja-jp/defender-for-identity/manage-action-accounts
③ 海外Microsoft Q&A（今回のきっかけ）
Defender for Identity Radius Aad Syncer Disabling User Accounts - Not Sure Why?
https://learn.microsoft.com/en-us/answers/questions/2132731/defender-for-identityradius-aad-syncer-disabling
④ Profile Toolkit for FSLogix
GitHub：DrazenNikolic / Profile-Toolkit-for-FSLogix
https://github.com/DrazenNikolic/Profile-Toolkit-for-FSLogix
2026/10/17
なごあず10/gMSA・覚えていますか？
8


# Page. 9

![Page Image](https://bcdn.docswell.com/page/2JVVG8VNJQ.jpg)

情報交換、お願いします
X
Docswell
GitHub
日々の検証・LTのお知らせ
LT資料を公開していきます
これから少しずつ…
2026/10/17
なごあず10/gMSA・覚えていますか？
9