# Konfiguracja oprogramowania
# Konfiguracja kont MSA / gMSA
##### Na kontrolerze domeny:
Logujemy się na konto w domenie w której chcemy użyć kont gMSA,
Używamy aplikację PowerShell by sprawdzić wersję domeny:
```powershell
(Get-ADDomain).ForestMode
(Get-ADDomain).DomainMode
```
Dodajmy główny klucz KDS - Ustawiamy -10 godzin by automatycznie zresetować jego długość życia:
```powershell
Add-KdsRootKey -EffectiveTime (Get-Date).AddHours(-10)
```
Testujemy poprawność klucza:
```powershell
Test-KdsRootKey -KeyId (Get-KdsRootKey).KeyId
```
Dodajemy odpowiednie konto:
**Ważne Częstotliwość automatycznej zmiany haseł można podać tylko przy tworzeniu konta, domyślnie jest 30dni**
```powershell
New-ADServiceAccount -Name NazwaKonta -DNSHostName NazwaKonta.AktualnaDomena -ManagedPasswordIntervalInDays LiczbaDni
```
Dla przykładu:
Dodajemy grupę która może zarządzać danym kontem i do niej **konto komputera** ** **które może skorzystać z naszego konta gMSA
```powershell
Set-ADServiceAccount -Identity "NazwaKonta" -PrincipalsAllowedToRetrieveManagedPassword "NazwaGrupy"
```
##### ***Na serwerze docelowym: ***
Najpierw musimy zainstalować przystawki powershell do zarządzania AD:
```powershell
Add-WindowsFeature RSAT-AD-PowerShell
```
Resetujemy ticket autentykacji Kerberos:
```powershell
klist purge -li 0x3e7
```
I instalujemy konto:
```powershell
Install-ADServiceAccount -Identity "NazwaKonta"
```
Przykładowy wynik:
I weryfikujemy instalację:
```powershell
Test-ADServiceAccount -Identity NazwaKonta
```
Po tych akcjach konto jest dostępne:
Na podstawie:
[Secure group managed service accounts - Microsoft Entra | Microsoft Learn](https://learn.microsoft.com/en-us/entra/architecture/service-accounts-group-managed)
# Konfiguracja WinRM - Zarządzanie zdalne systemem operacyjnym
##### Sprawdzenie działania usług
Do zdalnego zarządzania systemem operacyjnym muszą być uruchomione usługi:
**WinRM**
[](https://wiedza.konio-dc.eu/uploads/images/gallery/2025-03/gUOimage.png)
##### Przepuszczenie ruchu sieciowego:
By można było się połączyć do danej maszyny, musimy przepuścić ruch po porcie 445 + 139 oraz warto też od razu dodać ping:
```powershell
New-NetFirewallRule -DisplayName "Allow ICMPv4-In" -Protocol ICMPv4 -IcmpType 8 -Direction Inbound -Action Allow -Profile Any
netsh advfirewall firewall add rule name="Open Port 139 - SMB over NetBIOS" dir=in action=allow protocol=TCP localport=139
netsh advfirewall firewall add rule name="Open Port 445 - SMB" dir=in action=allow protocol=TCP localport=445
```
##### Problem "Access Denied (5)"
Dodatkwo, w razie problemów z "Access Denied (5)", należy zweryfikować wpis w rejestrze:
```powershell
$newItemPropertySplat = @{
Name = 'LocalAccountTokenFilterPolicy'
Path = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System'
PropertyType = 'DWord'
Value = 1
}
New-ItemProperty @newItemPropertySplat
```