如何在Docker容器中创建带凭据的Windows服务？

问题根源 #

Windows容器默认处于**工作组（Workgroup）**环境，并未加入域，因此无法识别域账户mydomain\account1，也无法完成域凭据的身份验证，导致New-Service命令报错。

可行解决方案 #

方案一：使用容器本地账户（快速实现） #

若服务不需要访问域内资源，直接创建容器本地账户即可：

1. 创建本地用户并赋予权限：

$localUser = "LocalServiceUser"
$localPass = ConvertTo-SecureString "LocalPass123!" -AsPlainText -Force
# 创建本地用户
New-LocalUser -Name $localUser -Password $localPass -FullName "Local Service Account" -Description "用于运行MyService的账户"
# 按需添加到管理员组（根据服务权限需求调整）
Add-LocalGroupMember -Group "Administrators" -Member $localUser

2. 使用本地账户创建服务：

$serviceName = "MyService"
$binaryPath = "c:\MyService.exe"
$mycreds = New-Object System.Management.Automation.PSCredential ($localUser, $localPass)
New-Service -Name $serviceName -BinaryPathName $binaryPath -DisplayName $serviceName -StartupType Automatic -Credential $mycreds

方案二：将容器加入域（适配域账户需求） #

若服务必须访问域内资源，需先让容器加入域：

1. 确保宿主机已加入目标域，且使用支持域加入的镜像（如Windows Server Core系列）
2. 在容器内执行域加入命令（需域管理员凭据）：

$domainAdminCred = New-Object System.Management.Automation.PSCredential ("mydomain\DomainAdmin", (ConvertTo-SecureString "AdminPass123!" -AsPlainText -Force))
Add-Computer -DomainName mydomain -Credential $domainAdminCred -Restart

3. 容器重启后，即可直接使用原域账户创建服务，需确保容器网络能连通域控制器（可使用--network nat或自定义桥接网络）。

方案三：使用GMSA（组托管服务账户，企业级安全方案） #

企业环境推荐使用GMSA，无需在容器内存储密码，安全性更高：

1. 在域控制器上创建并配置GMSA账户
2. 配置容器主机允许使用该GMSA账户
3. 启动容器时指定GMSA凭据：

# Docker启动命令
docker run -d --security-opt "credentialspec=file://mydomain_gmsa.json" mcr.microsoft.com/windows/servercore:ltsc2022

4. 容器内使用GMSA账户创建服务：

New-Service -Name MyService -BinaryPathName "c:\MyService.exe" -DisplayName MyService -StartupType Automatic -Credential "mydomain\gmsa_account$"

注意事项 #

• 若使用域账户或GMSA，必须保证容器网络能访问域控制器，否则身份验证会失败
• 本地账户方案无需依赖域环境，是最快的解决方式
• GMSA避免了在容器内存储明文密码，符合企业安全规范

内容的提问来源于stack exchange，提问作者harunB10