Windows服务账户密码轮换必须机制化：优先使用AD自动轮换的托管服务账户（MSA），否则须通过PAM平台统一管理；禁用共享账号、最小权限授权，并启用LAPS管控本地管理员密码。

windows 服务账户的密码轮换不能靠人工定期改密，必须通过机制化手段实现——要么用托管服务账户（msa）由ad自动轮换，要么借助特权访问管理（pam）平台统一接管凭据生命周期。

优先使用托管服务账户（MSA）

MSA是Windows Server 2012及以上版本原生支持的服务账号类型，专为后台服务设计：

• 密码由Active Directory自动轮换（默认每30天），无需人工干预
• 不支持交互式登录（无法RDP、无法PowerShell中-Credential传入）、不可手动重置密码
• 部署需满足域功能级别≥Windows Server 2012，且服务主机必须加入该域
• 常见错误：“Logon failure: unknown user name or bad password”往往源于误将MSA当作普通域账号在脚本中直接调用

传统服务账户必须配自动轮换机制

若因兼容性等原因仍需使用普通域服务账户，绝不能设为“密码永不过期”：

Windows TTS (WSL2)

在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。

下载

• 应接入PAM类平台，实现密码加密存储 + 定期自动更新 + 关联服务配置同步
• 所有凭据须以AES-256加密方式保存，确保“凭据不落地”
• 每次轮换后，自动更新注册表、服务配置、计划任务、脚本等所有引用位置，避免业务中断
• 禁用共享账号，每个服务单独分配唯一账户，便于审计与权限收敛

严格限制访问与使用范围

服务账户的本质是“非人账号”，其使用方式必须区别于普通用户：

• 禁止赋予远程桌面登录、交互式登录、命令行登录等权限
• 仅授予运行服务所必需的最小权限，避免使用本地管理员或Domain Admin组
• 定期扫描环境，识别未登记、长期未使用、权限异常的服务账户并清理
• 建立完整台账：记录账号归属业务、依赖服务、管理责任人、调用关系

补充：本地管理员密码也需统一管控

除域服务账户外，终端和服务器上的本地管理员密码同样构成风险面：

• 推荐启用Windows LAPS（本地管理员密码解决方案），它内置于Windows Server 2019/2022/2025及新版Windows客户端
• LAPS自动随机生成、轮换并安全存储本地管理员密码到AD或Microsoft Entra ID，支持ACL细粒度控制访问权限
• 旧版独立LAPS MSI已弃用，务必升级系统以使用原生集成版本