IIS 10物理路径凭据无法接受组托管服务账户问题咨询

核心结论 #

组托管服务账户（gMSA）可以用于IIS物理路径凭据，但无法通过IIS图形界面完成配置，必须使用PowerShell或appcmd命令行工具操作。

图形界面报错原因 #

IIS图形界面的「设置凭据」表单虽然能识别以$结尾的账户为服务账户并置灰密码框，但内部验证逻辑仍会检查密码字段的有效性。而gMSA的密码由Active Directory自动管理、轮换，无需手动输入，这就导致图形界面的验证流程触发「指定的密码无效」错误。

关于「物理路径凭据登录类型」的「服务」选项 #

• 该选项确实不会出现在物理路径凭据的下拉菜单中，因为物理路径凭据的登录类型仅支持「交互式」和「网络」两种，「服务」类型是针对Windows服务账户的配置项。
• 这个选项的缺失不是问题根源，根源在于图形界面不支持gMSA的无密码特性。

正确配置方法 #

方法1：使用PowerShell #

# 替换为你的网站名、应用名和gMSA账户信息
$siteName = "你的网站名称"
$appName = "你的应用名称"
$gMSAAccount = "DOMAIN\你的gMSA账户名$"

# 创建空密码的凭据对象（gMSA无需手动设置密码）
$securePassword = New-Object System.Security.SecureString
$credential = New-Object System.Management.Automation.PSCredential($gMSAAccount, $securePassword)

# 获取应用程序对象并设置物理路径凭据
$appPath = "IIS:\Sites\$siteName\$appName"
Set-ItemProperty -Path $appPath -Name physicalPathCredentials -Value $credential

方法2：使用appcmd命令 #

# 替换为你的网站名、应用名、gMSA账户信息
appcmd set app "你的网站名/你的应用名" /physicalPathCredentials:DOMAIN\你的gMSA账户名$ /physicalPathCredentialsPassword:"" /physicalPathCredentialsLogonType:Network

前置条件 #

• 服务器已加入域，且域中已部署并配置好目标gMSA账户。
• gMSA账户对应用的物理路径拥有必要的权限（至少读取权限，若需写入则需添加写入权限）。

内容的提问来源于stack exchange，提问作者doug.fsu