Servis hesapları, sMSA ve gMSA: Kimlik, SPN, parola ve erişim ilişkisi; dMSA’ya sürüm notu.

1. Core Mechanism / Temel mekanizma

Servis kimliğinin parolası üç ayrı yerde farklı biçimde yaşar: manuel service account'ta yöneticinin bildiği ve elle döndürdüğü sıradan bir parola; sMSA'da tek bir makineye bağlı, Windows'un yönettiği bir sır; gMSA'da ise AD'de statik olarak durmayan, DC tarafından Key Distribution Service kökünden hesaplanan ve yalnız yetkili host'ların alabildiği bir değer. Dersin sınırı 'kimlik-parola-erişim ilişkisi'dir: Kerberos bilet mekaniği 06.xx'te, SPN formatı bu derste yalnız kimlik bağlamında; delegation ayrıntısı 06.xx ve computer account sahipliği 08.03'te ele alınır.

Arabirimler ve belirtimler

• manuel service account: sıradan bir domain kullanıcı hesabı; parolasını yönetici bilir ve elle döndürür; SPN'i yönetici yönetir.
• sMSA (standalone Managed Service Account): Windows Server 2008 R2 ile geldi; otomatik parola yönetimi ve basitleştirilmiş SPN yönetimi sağlar, ama tek bir host'a bağlıdır.
• gMSA (group Managed Service Account): Windows Server 2012 ile geldi; aynı kimliği bir server farm'daki birden çok host paylaşır; parolayı DC hesaplar.
• msDS-ManagedPassword: gMSA nesnesinde constructed (hesaplanan) bir attribute; statik saklanmaz, talep anında yetkili çağırana MSDS-MANAGEDPASSWORD_BLOB olarak döner.
• MSDS-MANAGEDPASSWORD_BLOB: Version, Reserved, Length; CurrentPasswordOffset, PreviousPasswordOffset, QueryPasswordIntervalOffset, UnchangedPasswordIntervalOffset; current/optional previous WCHAR ve iki farklı interval alanı.
• msDS-GroupMSAMembership bir security descriptor’dır. DC, çağıranın security context’ini — uygulanabilir account ve group SID’leriyle — bu descriptor üzerindeki RIGHT_DS_READ_PROPERTY için değerlendirir.
• msDS-ManagedPasswordInterval: gMSA parolasının kaç günde bir değişeceğini belirler; PowerShell'de varsayılan 30 gündür ve oluşturma anında belirlenir.
• SPN’de <service class>/<host> zorunlu iskelettir; :<port> ve /<service name> gerektikçe eklenen optional parçalardır. Örneğin cifs/files.example.test için bu iki ek alan gerekmez. SPN forest içinde benzersiz olmalıdır.

Problem: paylaşılan bir servis parolasını kim döndürür

Bir servis (web uygulaması, veritabanı, zamanlanmış görev) bir kimlikle çalışır. Bu kimlik bir domain kullanıcı hesabıysa, parolasını bir insan bilir ve elle döndürmesi gerekir. Bir server farm'da aynı kimliği paylaşan on host varsa, bu manuel döndürme hem operasyonel yük hem güvenlik zaafıdır: parola nadiren değişir, çok yerde kayıtlıdır ve kim bildiği belirsizleşir.

Managed Service Account'lar tam bu problemi çözer. sMSA (Windows Server 2008 R2) tek makine için parolayı Windows'a bırakır; ama farm senaryosunda yetersizdir çünkü kimlik tek host'a bağlıdır. gMSA (Windows Server 2012) aynı işlevi domain içinde birden çok server'a genişletir: Network Load Balanced bir çözümde tüm servis örnekleri aynı principal'ı kullanır ve parolayı yönetici yerine Windows yönetir.

gMSA'nın kalbi Microsoft Key Distribution Service'tir (kdssvc.dll): bir gizli kökten periyodik olarak değişen anahtarlar türetir. gMSA için DC, bu anahtar ile hesabın diğer öznitelikleri üzerinden parolayı hesaplar. Üye host'lar bir DC'ye başvurarak parolanın güncel ve önceki değerini alabilir. Ders boyunca svc-web adlı tek bir gMSA'yı izleyeceğiz.

gMSA parolası: AD'de statik durmaz, hesaplanır

gMSA'da en önemli kavram, parolanın directory'de statik bir alan olarak durmamasıdır. msDS-ManagedPassword bir constructed attribute'tur: DC onu talep anında, yalnız doğru nesne türü için ve yalnız yetkili çağıran için hesaplar. Yetkisiz bir okuyucu için attribute ya yoktur ya da erişim reddedilir. Parolanın açık metni directory'de kalıcı olarak tutulmaz.

Dönen MSDS-MANAGEDPASSWORD_BLOB, Version 0x0001, Reserved 0x0000 ve Length ile başlar. Dört offset alanı current password, optional previous password ve iki interval’in yerini gösterir: CurrentPasswordOffset, PreviousPasswordOffset, QueryPasswordIntervalOffset, UnchangedPasswordIntervalOffset. Parola alanları null-terminated WCHAR değerleridir; PreviousPasswordOffset sıfırsa previous alanı yoktur. İki interval 8 baytlık, 10^-7 saniye birimli değerlerdir, fakat aynı şeyi söylemezler: QueryPasswordInterval sonunda alıcı yeniden sorgulamalıdır; UnchangedPasswordInterval dolmadan yapılan sorgular aynı parola değerini verir.

Bu 'current + previous' ikilisi tesadüf değildir: parola değiştiğinde, replikasyon gecikmesi olan bir DC'den henüz eski parolayı almış bir host authentication'a devam edebilsin diye önceki değer bir süre geçerli tutulur. Parolanın kaç günde bir değişeceği ise msDS-ManagedPasswordInterval ile belirlenir; PowerShell cmdlet'lerinde varsayılan 30 gündür ve gMSA oluşturulurken belirlenir.

Erişim kararı: msDS-GroupMSAMembership içindeki access check

gMSA'nın güvenlik ekseni şu sorudur: parolayı kim alabilir? Yanıt msDS-GroupMSAMembership özniteliğindedir. Bu öznitelik String(NT-Sec-Desc) syntax'ına sahiptir; yani bir güvenlik tanımlayıcısıdır (security descriptor). AD schema'sının ifadesiyle bu attribute 'bir requestor'ın group MSA parolasını alma iznine sahip olup olmadığını belirleyen access check için' kullanılır.

Karar yalnız bir hesap SID’iyle verilmez. DC, çağıranın security context’indeki uygulanabilir account ve group SID’lerini msDS-GroupMSAMembership DACL’ine karşı değerlendirir. Bir ACE doğrudan WS-WEB1$ hesabına izin verebilir; başka bir ACE ise gMSA-Hosts grubuna izin verir. İkinci durumda grubun SID’inin o isteğin security context’inde bulunması önemlidir. Directory’de bugün görünen üyelik, daha önce kurulmuş context’in yenilendiğini tek başına kanıtlamaz.

[MS-ADTS] 3.1.1.4.5.39'daki GetgMSAPasswordBlob prosedürü kararı iki kapıya bağlar. Önce bağlantı: bağlantı şifreli değilse ERROR_DS_CONFIDENTIALITY_REQUIRED döner. Sonra yetki: çağıranın bu descriptor üzerinde RIGHT_DS_READ_PROPERTY control access right'ı yoksa operationsError / ERROR_DS_CANT_RETRIEVE_ATTRS döner. Yani okunan hak tam olarak RIGHT_DS_READ_PROPERTY'dir; artifact'teki RP token'ı da tam olarak bu hakkı kodlar.

Bu yüzden bir gMSA'nın gerçek saldırı yüzeyi, hangi principal'ların bu descriptor'da yer aldığıdır. Artifact bölümünde tam olarak bu güvenlik tanımlayıcısını byte/ACE düzeyinde okuyacağız: hangi trustee'nin listede olduğu, parolayı kimin alabileceğini belirler.

sMSA/gMSA/dMSA: kapsam farkı ve Windows Server 2025 notu

Üç seçeneği kapsamla ayırmak gerekir. sMSA tek host'a bağlıdır; otomatik parola ve SPN yönetimi verir ama farm'ı çözmez. gMSA, aynı kimliği domain içinde birden çok host'a genişletir ve Windows Server 2012 öncesi işletim sistemlerinde geçerli değildir. Her ikisi de Kerberos'un desteklediği şifreleme türlerine bağımlıdır; msDS-SupportedEncryptionTypes ayarı yanlışsa (ör. host RC4'ü kapatmışken hesap AES tanımlamıyorsa) kimlik doğrulama başarısız olur — Microsoft MSA'lar için AES yapılandırmayı önerir.

SPN yönetimi bu resmin bir parçasıdır: bir servis Kerberos ile doğrulanacaksa doğru SPN'e sahip olmalıdır. Zorunlu SPN iskeleti <service class>/<host>’tur; :<port> ve /<service name> optional’dır ve forest içinde benzersiz olmalıdır. Çakışan bir SPN, Kerberos service ticket talebini bozar; Windows Server 2012 R2 ve sonrası DC'ler duplicate SPN yazımını engeller ve hata ERROR_DS_SPN_VALUE_NOT_UNIQUE_IN_FOREST (0x21C7) ile Directory Services event 2974 üretilir.

Sürüm notu — dMSA (delegated Managed Service Account), Windows Server 2025’te tanıtıldı. Geleneksel service account’tan geçişi ve makine kimliğine bağlı authentication’ı destekleyen ayrı bir modeldir. Oluşturma, migration ve işletim koşulları bu dersin kapsamı dışındadır.

Durum ve veri akışı

1. Kurulum: KDS root key mevcuttur; svc-web gMSA'sı oluşturulur, msDS-GroupMSAMembership'e yetkili host grubu yazılır.
2. İzin tanımı: descriptor’ın ACE’leri hesap veya grup trustee’lerine gerekli hakkı verebilir; güncel security context ayrıca değerlendirilir.
3. Talep: host kendi computer-account context’iyle DC’ye msDS-ManagedPassword okuma isteği yollar. Şifreli bağlantı koşulu ayrıca denetlenir.
4. Access check: şifreli bağlantıdan sonra DC, uygulanabilir account/group SID’lerini msDS-GroupMSAMembership descriptor’ındaki RIGHT_DS_READ_PROPERTY için değerlendirir.
5. Hesaplama: yetkiliyse DC, KDS anahtarı ve hesap öznitelikleriyle parolayı hesaplar ve MSDS-MANAGEDPASSWORD_BLOB döndürür.
6. Dönen içerik: current WCHAR ve varsa previous WCHAR; PreviousPasswordOffset sıfırsa previous alanı bulunmaz. Retrieval, serviste authentication başarısını göstermez.
7. Interval ayrımı: QueryPasswordInterval sonunda yeniden sorgula; UnchangedPasswordInterval dolmadan sorgular aynı değeri verir. Gün cinsinden msDS-ManagedPasswordInterval ayrı ayardır.

2. Exploitation / İstismar

Broken trust assumption

Güvenilen varsayım: 'managed service account parolasını Windows yönettiği için onu kimse alamaz; gMSA otomatik olarak güvenlidir.' Kırılan yer: parolayı alma yetkisi bir security descriptor'da (msDS-GroupMSAMembership) tanımlıdır; bu descriptor'da yetkilendirilen bir principal (ya da onu değiştirebilen biri) gMSA'nın açık metin parolasını meşru API üzerinden alabilir.

Technical prerequisites

• Saldırganın kontrol ettiği bir principal, hedef gMSA'nın msDS-GroupMSAMembership descriptor'unda izinli olarak yer alır (ör. yetkili host grubuna üye bir computer account).
• Ya da saldırgan, gMSA nesnesindeki msDS-GroupMSAMembership attribute’u üzerinde gerekli Write Property hakkına sahiptir ve descriptor’ı kendi principal’ını ekleyecek şekilde değiştirebilir.
• Hedef gMSA anlamlı bir erişime sahiptir (aksi hâlde parolayı almak sınırlı etki yaratır).
• Bu koşullar sağlanmadan 'gMSA parolası herkesçe alınabilir' iddiası yanlıştır; erişim access check'e bağlıdır.

Exploitation mechanism / İstismar mekanizması

gMSA parolasının açık metni, msDS-ManagedPassword constructed attribute'u üzerinden meşru bir directory okuması olarak döner; sömürü ayrı bir 'açık' değil, yanlış yapılandırılmış bir yetkidir. Eğer bir principal msDS-GroupMSAMembership DACL'inde izinliyse, DC ona MSDS-MANAGEDPASSWORD_BLOB içinde CurrentPassword'ü verir ve saldırgan bu parolayla gMSA kimliğine bürünebilir. İkinci yol, msDS-GroupMSAMembership attribute’unu yazabilen bir principal'ın önce kendi SID'ini listeye ekleyip sonra parolayı almasıdır; bu, computer account/gMSA nesne haklarının neden hassas olduğunu (08.03 sahiplik zinciriyle bağlantılı) gösterir. Etki, gMSA'nın eriştiği kaynaklarla sınırlıdır; parolanın hesaplanması yine yetkili çağıran ve doğru nesne türü koşuluna bağlıdır.

Yetki yanlış yerdeyse parola meşru yoldan sızar

gMSA'da tehdit modeli 'parolayı kırmak' değil, 'parolayı almaya yetkili olmak'tır. msDS-GroupMSAMembership fazla geniş yazılmışsa (ör. gereğinden büyük bir grup, ya da yanlış bir computer account), o listedeki herhangi bir host meşru API ile açık metin parolayı alabilir. Bu, bir zafiyet değil bir yetkilendirme hatasıdır; ama sonucu gerçek bir credential ifşasıdır.

Bu yüzden gMSA denetimi, 'kim bu descriptor'da' sorusuna indirgenir. Descriptor'daki her trustee, gMSA kimliğine erişebilecek bir aday demektir. Artifact tam bu descriptor'ı okumak için tasarlanmıştır.

Sınır ve engelleyici kontrol

Kapsam sınırı: gMSA parolasını almak, yalnız o gMSA'nın erişebildiği kaynaklara açılır; otomatik olarak domain yönetimi vermez. Ayrıca parola hesaplaması hâlâ yetkili çağıran ve doğru nesne türü koşuluna bağlıdır; keyfi bir okuyucu için attribute boş döner ya da reddedilir.

Engelleyici kontroller: msDS-GroupMSAMembership'i mümkün olan en dar host grubuyla sınırla; gMSA ve computer object'ler üzerindeki yazma haklarını denetle (descriptor'ı değiştirebilen bir principal listeyi genişletebilir); gMSA'ları yüksek ayrıcalıklı gruplara üye yapmaktan kaçın ki bir parola ifşası dar kalsın.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• gMSA parolasının statik saklanmaması nedeniyle 'parola dosyası' aramak yerine izin yüzeyi denetlenir: msDS-GroupMSAMembership'te kimlerin olduğu düzenli gözden geçirilmelidir.
• Attribute değişikliklerinin 5136 olarak kaydı için DC’de Audit Directory Service Changes Success kapsamı ve değiştirilen attribute’u eşleyen ilgili nesne SACL’i gerekir.
• SPN çakışması yazımı 2012 R2 ve sonrası DC'lerde bloklanır ve Directory Services event 2974 ile ERROR_DS_SPN_VALUE_NOT_UNIQUE_IN_FOREST (0x21C7) üretir.
• Retrieval için 4662 toplanabilir; DC’de Audit Directory Service Access ve hedef işlemle eşleşen SACL gerekir. Her ortamda otomatik event varsayma. 5136 descriptor değişikliğini, 4662 koşullu object operation’ı gösterir; servis kaynağına erişim ayrıca doğrulanır.
• msDS-ManagedPasswordInterval ve msDS-SupportedEncryptionTypes gibi öznitelikler yapılandırma denetimiyle doğrulanır; RC4-only bir gMSA sessiz bir zayıflıktır.

Events and relevant fields

• 5136 — Directory Service object modified; üretim için DC audit subcategory’si ve değişen attribute’a uyan SACL Success audit ACE’i gerekir. Alan adları ortam sürümü ve event şemasıyla doğrulanır.
• 2974 — Directory Services: duplicate SPN yazımı engellendi (ERROR_DS_SPN_VALUE_NOT_UNIQUE_IN_FOREST, 0x21C7).
• 4741/4742 — host computer account'ların oluşturulması/değişmesi (gMSA'yı kullanan makinelerin kimliği bağlamı; bkz. 08.03).
• 4662 — uygun auditing/SACL ile object operation; gMSA retrieval takibi için collection kapsamını doğrula.

Statik parola yok: denetim izin yüzeyine kayar

Manuel service account'ta denetim 'parola nerede, kim biliyor' etrafında döner. gMSA'da açık metin parola directory'de statik durmadığı için bu soru anlamsızlaşır; yerini 'kim almaya yetkili' sorusu alır. Bu yüzden birincil kanıt kaynağı parola değeri değil, msDS-GroupMSAMembership descriptor'undaki trustee kümesidir ve onun değişim geçmişidir (5136).

Retrieval için 4662 toplanabilir; DC’de Audit Directory Service Access ve hedef işlemle eşleşen SACL gerekir. Her ortamda otomatik event varsayma. 5136 descriptor değişikliğini, 4662 koşullu object operation’ı gösterir; servis kaynağına erişim ayrıca doğrulanır.

Yapılandırma kanıtı ve doğrulama

Sıkılaştırmanın doğrulaması iki adımlıdır. Önce mevcut durum: her gMSA için msDS-GroupMSAMembership'teki principal'lar listelenir ve beklenen host grubuyla karşılaştırılır. Sonra değişim: bu descriptor'a yapılan düzenlemeler (5136) izlenir ve yalnız onaylı yönetim süreçleriyle eşleşmeleri doğrulanır.

SPN ve şifreleme tarafında doğrulama, duplicate SPN bloklarının (2974) ve msDS-SupportedEncryptionTypes değerlerinin envanteridir. Bu kontroller kalıcıdır: yeni bir gMSA eklendiğinde aynı denetim tekrar uygulanır. Değişiklik geri alınabilir olmalı ve aşamalı uygulanmalıdır.

Detection logic · Sigma

title: gMSA membership descriptor degisikligi (5136 uzerinden)
status: experimental
description: >
  msDS-GroupMSAMembership attribute'unun (parolayi alabilecek principal listesi)
  degistirildigi 5136 olaylarini daraltir. Yalniz ilgili nesnede SACL yapilandirilmis
  ve Audit Directory Service Changes acikken uretilir; DC-side ve yuksek hacimlidir.
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 5136
    AttributeLDAPDisplayName: 'msDS-GroupMSAMembership'
  condition: selection
fields:
  - SubjectUserSid
  - ObjectDN
  - AttributeValue
  - OperationType
falsepositives:
  - Mesru gMSA yonetimi (yeni host farm ekleme) ayni izi birakir
  - Toplu otomasyon/IaC ile yapilan yetki degisiklikleri
level: medium

Query assumptions

• Source: DC Security channel; Audit Directory Service Changes Success etkin olmalı ve ilgili gMSA nesnesindeki SACL msDS-GroupMSAMembership için başarılı Write Property değişikliğini eşlemelidir.
• AttributeLDAPDisplayName alanı msDS-GroupMSAMembership olan olaylar seçilir; alan yoksa kural eşleşmez.
• Backend'in 5136 EventData alan adlarını (AttributeLDAPDisplayName, AttributeValue, OperationType) bu adlarla ingest ettiği varsayılır; farklı şemada field mapping gerekir.

False positives

• Meşru gMSA yönetimi (yeni bir server farm'ı yetkilendirme) tam olarak aynı 5136/attribute izini üretir.
• IaC/otomasyon ile toplu yetki değişiklikleri yüksek ama benign hacim yaratabilir.
• SACL yalnız bazı gMSA nesnelerinde attribute’a uygun ACE içeriyorsa kapsam dışındaki değişiklikler görünmez (telemetry gap).

Hardening

• msDS-GroupMSAMembership'i en dar host grubuyla sınırla; 'parolayı kim alabilir' listesini düzenli gözden geçir ve gereksiz principal'ları çıkar.
• gMSA ve ilgili computer object'ler üzerindeki yazma haklarını sıkılaştır; descriptor'ı değiştirebilen principal, listeyi genişleterek parolayı alabilir.
• MSA'lar için AES şifreleme türlerini yapılandır (msDS-SupportedEncryptionTypes); RC4-only kalmasına izin verme.
• SPN'leri benzersiz ve doğru tut; 2012 R2+ DC'lerde duplicate SPN bloğunu (2974) bir sinyal olarak izle.
• gMSA'ları yalnız gereken kaynaklara yetkilendir; yüksek ayrıcalıklı gruplara üye yapmaktan kaçın ki olası bir parola ifşası dar kalsın.

Örnekler üzerinde oku / Read the examples

O:BAG:BAD:(A;;RP;;;S-1-5-21-1109110911-2202220222-3303330333-6501)S:

İki yanlış kanı / Two reality checks

Sanılan: gMSA parolası Windows tarafından yönetildiği için hiçbir hesap onu açık metin olarak alamaz.

Gerçekte: gMSA parolası, msDS-ManagedPassword constructed attribute'u üzerinden yetkili bir çağırana MSDS-MANAGEDPASSWORD_BLOB içinde açık metin (CurrentPassword, WCHAR) olarak döner. Kimin yetkili olduğunu msDS-GroupMSAMembership güvenlik tanımlayıcısındaki access check belirler; listede olan bir principal parolayı meşru yoldan alabilir.

Sanılan: gMSA'ya geçmek SPN ve şifreleme yapılandırmasını gereksiz kılar; her şey otomatiktir.

Gerçekte: gMSA parola döndürmeyi otomatikleştirir ama SPN benzersizliği ve şifreleme türleri hâlâ doğru olmalıdır. Çakışan SPN Kerberos service ticket'ı bozar (2012 R2+ DC'ler duplicate yazımı engeller, event 2974 / 0x21C7), ve host RC4'ü kapatmışken hesap AES tanımlamıyorsa kimlik doğrulama başarısız olur; Microsoft MSA'lar için AES önerir.

Kaynaklar / Sources

• Microsoft · Group Managed Service Accounts overview
  sMSA (WS2008R2) ve gMSA (WS2012) kapsam farkı; KDS (kdssvc.dll) anahtar kökü; DC parolayı hesaplar; host'lar current ve preceding parolayı DC'den alır; msDS-SupportedEncryptionTypes / AES önerisi.
• Microsoft Open Specifications · [MS-ADTS] msDS-ManagedPassword
  msDS-ManagedPassword constructed attribute; yalnız yetkili çağıran ve doğru nesne türü için hesaplanır; statik saklanmaz.
• Microsoft Open Specifications · [MS-ADTS] MSDS-MANAGEDPASSWORD_BLOB
  Version 0x0001, Reserved 0x0000, Length, CurrentPasswordOffset, PreviousPasswordOffset, CurrentPassword/PreviousPassword (WCHAR), Query/UnchangedPasswordInterval (10^-7 s).
• Microsoft · ms-DS-GroupMSAMembership attribute (AD Schema)
  Syntax String(NT-Sec-Desc); 'used for access checks to determine if a requestor has permission to retrieve the password for a group MSA'; Windows Server 2012; varsayılan O:BAG:BAD:S:.
• Microsoft · Name Formats for Unique SPNs
  SPN biçimi <service class>/<host>:<port>/<service name>; forest içinde benzersiz olmalı; çakışan SPN Kerberos service ticket'ı bozar.
• Microsoft · SPN and UPN uniqueness
  WS2012 R2+ DC'ler duplicate SPN yazımını engeller; ERROR_DS_SPN_VALUE_NOT_UNIQUE_IN_FOREST (0x21C7) ve Directory Services event 2974.
• Microsoft · Delegated Managed Service Accounts overview
  Windows Server 2025’te tanıtılan dMSA; makine kimliğine bağlı authentication ve geleneksel service account’tan migration bağlamı. Bu ders ayrıntılı kurulum/migration akışını kapsamaz.
• Microsoft · Event 5136 / Audit Directory Service Changes
  Event 5136: Audit Directory Service Changes Success ve eşleşen SACL Write ACE gerekir; AttributeLDAPDisplayName değişen attribute’u gösterir. Bu yapılandırılmış bir değişiklik sinyalidir, parola retrieval kanıtı değildir.
• Microsoft · Event 4662
  Selected passages reviewed: bounded permission/operation conditions; no runtime validation.
• [MS-ADTS] Extended Access Checks
  Selected passages reviewed: bounded permission/operation conditions; no runtime validation.