windows服务账户密码轮换必须机制化：优先使用ad自动轮换的托管服务账户（msa），否则须通过pam平台统一管理；禁用共享账号、最小权限授权，并启用laps管控本地管理员密码。
windows 服务账户的密码轮换不能靠人工定期改密，必须通过机制化手段实现——要么用托管服务账户（msa）由ad自动轮换，要么借助特权访问管理（pam）平台统一接管凭据生命周期。
优先使用托管服务账户（MSA）
MSA是Windows Server 2012及以上版本原生支持的服务账号类型，专为后台服务设计：
- 密码由Active Directory自动轮换（默认每30天），无需人工干预
- 不支持交互式登录（无法RDP、无法PowerShell中-Credential传入）、不可手动重置密码
- 部署需满足域功能级别≥Windows Server 2012，且服务主机必须加入该域
- 常见错误：“Logon failure: unknown user name or bad password”往往源于误将MSA当作普通域账号在脚本中直接调用
传统服务账户必须配自动轮换机制
若因兼容性等原因仍需使用普通域服务账户，绝不能设为“密码永不过期”：
- 应接入PAM类平台，实现密码加密存储 + 定期自动更新 + 关联服务配置同步
- 所有凭据须以AES-256加密方式保存，确保“凭据不落地”
- 每次轮换后，自动更新注册表、服务配置、计划任务、脚本等所有引用位置，避免业务中断
- 禁用共享账号，每个服务单独分配唯一账户，便于审计与权限收敛
严格限制访问与使用范围
服务账户的本质是“非人账号”，其使用方式必须区别于普通用户：
- 禁止赋予远程桌面登录、交互式登录、命令行登录等权限
- 仅授予运行服务所必需的最小权限，避免使用本地管理员或Domain Admin组
- 定期扫描环境，识别未登记、长期未使用、权限异常的服务账户并清理
- 建立完整台账：记录账号归属业务、依赖服务、管理责任人、调用关系
补充：本地管理员密码也需统一管控
除域服务账户外，终端和服务器上的本地管理员密码同样构成风险面：
- 推荐启用Windows LAPS（本地管理员密码解决方案），它内置于Windows Server 2019/2022/2025及新版Windows客户端
- LAPS自动随机生成、轮换并安全存储本地管理员密码到AD或Microsoft Entra ID，支持ACL细粒度控制访问权限
- 旧版独立LAPS MSI已弃用，务必升级系统以使用原生集成版本
