sc.exe配置gMSA身份服务启动失败，服务控制台操作后正常启动

你用脚本配置后服务启动失败，但通过服务控制台切换后正常，核心是控制台处理了gMSA特有的配置逻辑，而你的脚本没覆盖到：

• 正确标记托管密码属性：gMSA不需要手动输入密码，服务控制台在设置账户时，会把服务的密码字段设为空值并标记为“托管密码”——底层是调用ChangeServiceConfig2 API，告诉系统这个账户是gMSA，启动时自动去域控制器拉取密码，而不是像sc.exe那样因为空密码执行失败。你直接用sc.exe config只设置了账户名，系统还是按普通域账户的逻辑要求密码，自然登录失败。

• 刷新服务安全上下文缓存：控制台的操作会触发系统刷新服务的安全配置缓存，让系统明确识别这是gMSA账户，启用对应的密码检索机制。而脚本直接修改配置后，系统可能还停留在普通域账户的验证逻辑里，没触发gMSA的专属流程。

• 自动绑定gMSA的身份验证流程：控制台会自动关联gMSA的SPN验证逻辑，确保服务启动时走gMSA专用的身份验证路径，而不是普通域账户的登录流程，这一步也是脚本里缺失的。

补充个小细节：其实用sc.exe也能正确配置，前提是先给计算机授权gMSA密码检索权限，然后执行sc.exe config WalletService type= own obj= "DOMAIN\gMSA03$"之后，再执行sc.exe config WalletService password= ""——但有些环境里直接这么做还是会有问题，不如控制台通过API处理得彻底。

内容的提问来源于stack exchange，提问作者zdenko.s