本文提供了一种解决方法：当服务配置为在基于 Windows Server 2012 R2 的域控制器上使用 gMSA 帐户时，服务无法启动的问题。
原始 KB 数： 4294429
症状
你有一台满足以下所有条件的计算机：
- 计算机是 Active Directory 域控制器。
- 计算机运行的是配置为使用组托管服务帐户（gMSA）的一个或多个服务。
- 这些服务具有“自动**”或“延迟启动”的**启动类型。 在此计算机上，可能会遇到以下一个或多个症状：
- 使用 gMSA 的服务无法正确启动。
- 计算机启动和用户登录速度缓慢或冻结。
- 在需要与服务控制管理器（SCM）交互的计算机上运行的任何应用程序或服务将冻结。
解决方法
若要解决此问题，请使用以下某种方法：
- 将Microsoft密钥分发服务（KdsSvc）的启动类型配置为 “自动 ”而不是 “触发器启动”。
- 使用以下命令更改Microsoft密钥分发服务（KdsSvc）的触发器，以在网络可用后立即启动服务：
sc triggerinfo kdssvc start/networkon
详细信息
此问题是由Microsoft组件中的代码缺陷引起的。 下面介绍了此问题的发生方式：
- 在启动期间，Windows 会枚举所有自动服务并尝试启动它们。
- 当 Windows 尝试启动配置为使用组托管服务帐户（gMSA）的服务时，服务控制管理器（SCM）会尝试使用服务的帐户信息登录。
- 登录请求将发送到计算机上运行的本地安全机构进程（lsass.exe，LSASS）。
- LSASS 接收请求。 处理请求时，LSASS 会尝试执行轻量目录访问协议 （LDAP） 搜索 msDS-ManagedPassword 属性。
- 在域控制器上执行 LDAP 请求时，可以将 LDAP 查询发送回本地服务器，该服务器由 LSASS 中的另一个线程处理，该线程与发出查询的过程相同。
- LDAP 服务器线程调用Microsoft密钥分发服务提供程序（kdscli.dll），在其中尝试查找服务器组件：Microsoft密钥分发服务（KdsSvc）、RPC 终结点（EPM）。
- 由于 KdsSvc 服务在发生这些 RPC 查询之一后立即触发，因此服务应启动（理论上）。 但是，由于 SCM 当前被阻止启动服务，并且一次只能启动一个服务，因此 KdsSvc 永远不会启动，并且 SCM 挂起。