msa配置服务的核心是ad自动管理密码，只需绑定账号、安装到机器并验证可用；需满足域功能级别≥2012、服务器已入域且为win server 2012+、操作账户具domain admin权限。
直接用msa配置服务，核心是绕过“手动输密码”这个动作——ad替你管密码，你只负责把服务绑对账号、装对机器、验证能用。
确认环境是否支持MSA
不是所有域都能用MSA。必须满足三个硬条件：
- 域功能级别 ≥ Windows Server 2012（查命令：Get-ADForest | Select-Object ForestMode）
- 目标服务器已加入该域，且操作系统为 Windows Server 2012 或更高版本
- 操作账户需有 Domain Admin 权限（创建阶段必需）
创建并安装单机MSA（sMSA）
sMSA已不推荐新建（Server 2016起弃用），但若仅需在一台服务器上跑SQL或IIS服务，仍可快速启用：
- 在域控制器上运行：New-ADServiceAccount -Name svc-web-msa -DnsHostName svc-web-msa.contoso.com -RestrictToSingleComputer
- 将该MSA授权给目标计算机（如Web-SRV01$）：Add-ADComputerServiceAccount -Identity Web-SRV01$ -ServiceAccount svc-web-msa
- 在Web-SRV01上安装账号：Install-ADServiceAccount -Identity svc-web-msa
- 立即验证：Test-ADServiceAccount svc-web-msa → 返回 True 才算成功
把服务实际切换成用MSA运行
Windows服务本身不“选账号”，而是修改其登录身份。两种常用方式：
- 图形界面：打开“服务”管理控制台（services.msc）→ 右键目标服务（如SQL Server (MSSQLSERVER)）→ “属性”→ “登录”选项卡→ 选择“此帐户”，输入 DOMAIN\svc-web-msa$（注意末尾的$）→ 留空密码框 → 确定
- 命令行（推荐自动化）：sc.exe config "MSSQLSERVER" obj= "contoso\svc-web-msa$" password= "" → 然后重启服务
注意：不要尝试在PowerShell里用 Start-Process -Credential 调用MSA，它不支持交互式凭据，会报“unknown user name or bad password”。
为什么不用gMSA？什么时候该换
如果你的服务要部署在多台服务器（比如NLB集群里的两台IIS）、或需要Kerberos跨服务互信，sMSA就不够用了。此时必须用gMSA：
- 先确保林中已存在KDS根密钥：Add-KdsRootKey -EffectiveTime ((Get-Date).AddHours(-10))
- 创建gMSA时指定多台主机：New-ADServiceAccount -Name svc-api-gmsa -DnsHostName svc-api-gmsa.contoso.com -PrincipalsAllowedToRetrieveManagedPassword "APP-SRV01$,APP-SRV02$"
- 每台APP服务器都执行 Install-ADServiceAccount 和 Test-ADServiceAccount
- 配置方式与sMSA一致，只是账号名后不加$（gMSA是域用户格式，如 contoso\svc-api-gmsa）
不复杂但容易忽略
