# gMSA aanmaken

* Ik heb een gewone Domain Controller (**DC**).
* Mijn 2de server (**splunkmon**) en mijn client zijn aan het domein toegevoegd.
* Internet toegang is niet nodig. Ik heb splunk gewoon naar mijn VM gekopïeerd.

## Op de domain Controller.

Je moet eerst een \[Key Distribution Services Root Key]\(<https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/jj128430(v=ws.11>)) aanmaken. In een echte omgeving zit er een 10 uur timer op om alle Domain Controllers de kans te geven deze te syncen. Vermits ik slechts 1 DC heb, voer ik een foefje uit dat ze aanraden als je niet wenst te wachten: `Add-KdsRootKey –EffectiveTime ((get-date).addhours(-10))`

![](https://1004180711-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-Lp2rB1sCrP0rQwxZg7J%2F-Lp2rCl8ciJ7JTH8px2u%2F-Lp2s9xW_S7izVtj8Fof%2Fkds-rootkey.PNG?generation=1568801884688143\&alt=media)

Eerst maak ik een global group (**gg-splunk**) aan waarin ik mijn Splunk-server (**splunkmon**)steek. Eigenlijk had ik -volgens Best Practice- een Domain Local moeten aanmaken. Oops! Vergeet niet computers aan te duiden bij object types!

![](https://1004180711-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-Lp2rB1sCrP0rQwxZg7J%2F-Lp2rCl8ciJ7JTH8px2u%2F-Lp2s9xYnslA5NZWXnVb%2Faddcomputer.PNG?generation=1568801884791374\&alt=media)

Op mijn screenshot zal je ook zien dat ik reeds een OU heb aangemaakt, genaamd GMSA. Hieronder ga ik straks nog de OUs "computers" en "users" aanmaken. Om het overzichtelijker te houden.

Normaal zou je zo goed als meteen je gMSA moeten kunnen aanmaken: `New-ADServiceAccount -name gMSASplunk -DNSHostName gMSASplunk.theleague.com -PrincipalsAllowedToRetrieveManagedPassword GG-Splunk`

![](https://1004180711-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-Lp2rB1sCrP0rQwxZg7J%2F-Lp2rCl8ciJ7JTH8px2u%2F-Lp2s9x_2hbDbglQy75Y%2Fcreate%20gmsa.PNG?generation=1568801884661431\&alt=media) Je merkt dat er niet veel resultaat aan te pas komt in Powershell. Daarom dat ik bij volgende cmdlets telkens "-verbose" begin toe te voegen.

Maar hij is dus wel degelijk aangemaakt! ![](https://1004180711-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-Lp2rB1sCrP0rQwxZg7J%2F-Lp2rCl8ciJ7JTH8px2u%2F-Lp2s9xbGwsAi4HtrRkF%2Fgmsa-created.PNG?generation=1568801884850600\&alt=media)

## Op De Splunk-server in wording.

Vervolgens moeten we dus op de Splunk server deze account gaan toevoegen. Daarvoor hebben we wel de Active Directory Powershell module nodig. Deze voegen we eerst toe.

`Add-windowsfeature rsat-ad-powershell`

![](https://1004180711-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-Lp2rB1sCrP0rQwxZg7J%2F-Lp2rCl8ciJ7JTH8px2u%2F-Lp2s9xdHtIBH-IQ0LQ-%2Fadd-windowsfeature.PNG?generation=1568801884790879\&alt=media)

Het toevoegen van de gMSASplunk account volgt hier meteen op.

`Install-ADServiceAccount gMSASplunk`

![](https://1004180711-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-Lp2rB1sCrP0rQwxZg7J%2F-Lp2rCl8ciJ7JTH8px2u%2F-Lp2s9xf42CbSNfW8oWU%2Finstall-adserviceaccount.PNG?generation=1568801884637915\&alt=media)

Om het vervolgens toch even uit te testen.

`Test-ADServiceAccount gMSASplunk`

![](https://1004180711-files.gitbook.io/~/files/v0/b/gitbook-legacy-files/o/assets%2F-Lp2rB1sCrP0rQwxZg7J%2F-Lp2rCl8ciJ7JTH8px2u%2F-Lp2s9xh7dgfFhC0Qkux%2Ftest-gmsaaccount.PNG?generation=1568801884831217\&alt=media)

Dit zijn de eerste stappen om onze gMSA aan te maken en aan de server toe te voegen. Op naar het aanmaken van GPO's!
