当我的当前用户位于PrincipalsAllowedToRetrieveManagedPassword 中时，我如何收到“托管服务帐户测试失败...”？

Question

我已在 AWS Managed Active Directory 中创建了一个组托管服务账户。我当前以管理员用户身份登录 EC2 实例。 当我运行

Get-AdServiceAccount -Identity GMSA_NAME -Properties PrincipalsAllowedToRetrieveManagedPassword

时，PrincipalsAllowedToRetrieveManagedPassword 行中的 Admin 具有正确的域信息。

当我运行

Test-ADServiceAccount -Identity GMSA_NAME

时，测试结果出现以下错误

WARNING: Test failed for Managed Service Account GMSA_NAME. If standalone Managed Service Account, the account is linked to another computer object in the
Active Directory. If group Managed Service Account, either this computer does not have permission to use the group MSA or this computer does not support all th
e Kerberos encryption types required for the gMSA. See the MSA operational log for more information.

我尝试创建一个组，将 Admin 添加到该组并将其添加为可以检索密码的主体，但我得到了相同的结果。我只能找到一个出现此错误的论坛，答案只是说确保该帐户位于“PrincipalsAllowed...”列表中。这可能是 DNSHostName 的问题吗？我想不出任何其他可能的问题。

Answer 1

计算机帐户需要是该组的成员，而不是您登录时使用的用户名。