有關服務帳戶密碼安全輪換 (Safe Rotation) 流程之查詢

你好，

針對審計報告要求你輪換那些設定了「密碼永不過期」的服務帳戶，最佳做法並不是直接改密碼然後逐一手動更新，而是遵循一個既定的安全輪換流程。一般來說，先要在 Active Directory 裡面取消「密碼永不過期」屬性，然後為每個服務帳戶設定一個強密碼並記錄下來。接著，逐一檢查該帳戶綁定的服務，例如 Windows Service、Scheduled Task、IIS Application Pool 或 SQL Agent Job，並在這些服務的設定介面裡更新憑證。這樣可以確保服務在下一次啟動時能正確使用新密碼。

在輪換過程中，建議先在測試環境或非關鍵服務上驗證，然後再推進到生產環境。避免一次性同時更改所有帳戶，因為這樣會增加服務中斷的風險。比較穩妥的方式是分批輪換，並在每批完成後立即重啟相關服務以確認正常運行。

如果你的環境規模較大，可以考慮使用 Managed Service Accounts (MSA) 或 Group Managed Service Accounts (gMSA)，這樣密碼由系統自動管理和輪換，無需人工干預，並且符合合規要求。這是微軟官方推薦的方式，能大幅降低人為錯誤和中斷的風險。

總結來說，正確的流程是：取消永不過期 → 設定新密碼 → 更新依賴服務 → 驗證運行 → 分批推進。若可能，逐步過渡到 gMSA 以達到長期合規和穩定性。

Domic Vo.