搭载gMSA的Windows 2019容器中以域用户身份启动进程的问题

通过CredentialSpec配置gMSA的Windows容器并未真正加入AD域，本地SAM数据库不存在完整的域信任关系，所有需要本地校验域用户凭据的操作都会触发安全数据库无工作站信任关系的计算机账户报错。

方案1：使用runas /netonly封装启动进程 #

/netonly参数指定凭据仅用于网络资源身份验证，不会触发本地域信任校验，适配容器模拟域加入的场景：

runas /netonly /user:MyDomain\UserABC "需要执行的程序/脚本完整路径"

如果是PowerShell场景，可以搭配Start-Process的-ArgumentList参数封装上述命令使用。

方案2：在代码中使用Windows模拟身份执行操作 #

如果是.NET 4.x应用自身需要以域用户身份执行任务，可以直接在gMSA运行上下文中调用Win32 API模拟用户身份，无需单独启动进程：

using System;
using System.Runtime.InteropServices;
using System.Security.Principal;

public class UserImpersonation
{
    [DllImport("advapi32.dll", SetLastError = true)]
    public static extern bool LogonUser(string lpszUsername, string lpszDomain, string lpszPassword, int dwLogonType, int dwLogonProvider, ref IntPtr phToken);
    
    [DllImport("kernel32.dll", CharSet = CharSet.Auto)]
    public extern static bool CloseHandle(IntPtr handle);

    public void RunAsDomainUser(string domain, string username, string password, Action action)
    {
        IntPtr userToken = IntPtr.Zero;
        // LOGON32_LOGON_NEW_CREDENTIALS = 9  仅网络验证凭据
        // LOGON32_PROVIDER_WINNT50 = 3  适配域身份验证
        bool logonSuccess = LogonUser(username, domain, password, 9, 3, ref userToken);
        if (logonSuccess)
        {
            using (WindowsIdentity identity = new WindowsIdentity(userToken))
            using (WindowsImpersonationContext context = identity.Impersonate())
            {
                // 此处执行业务逻辑
                action.Invoke();
            }
            CloseHandle(userToken);
        }
    }
}

方案3：修改容器本地策略绕过本地凭据校验 #

仅适用于内部可信环境，修改以下两个注册表项后重启容器即可直接传入域用户凭据启动进程：

# 允许存储域凭据
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa" -Name "DisableDomainCreds" -Value 0 -Type DWord
# 关闭本地账户令牌过滤
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" -Name "LocalAccountTokenFilterPolicy" -Value 1 -Type DWord

方案4：直接为gMSA分配对应权限（最优方案） #

如果需要执行的任务仅需要访问域内网络资源，可以直接为gMSA账户分配MyDomain\UserABC的同等资源权限，直接在gMSA上下文下执行任务即可，无需切换用户，稳定性最高。

• 不要尝试在gMSA配置的容器内执行正式域加入操作，会和CredentialSpec配置冲突导致原有身份验证功能失效
• 计划任务场景不要直接指定域用户作为运行身份，可将执行命令封装为runas /netonly格式后，以容器内本地管理员/NetworkService身份运行即可
• 生产环境优先使用方案4，其次选择方案1/2，避免修改安全配置降低容器防护等级

内容的提问来源于stack exchange，提问作者Antebios