Рекомендации по групповым управляемым учетным записям служб, когда использовать сценарий, а когда не использовать?

У меня есть требование использовать gMSA (групповые управляемые учетные записи служб) для замены статически назначенной учетной записи службы на серверах, присоединенных к домену AD, которые уже являются членами групп с высоким уровнем привилегий, таких как: администраторы домена, администраторы предприятия и т. д.

Я предполагаю, что любая учетная запись AD, которая работает или используется службами Windows или Application Services, может быть заменена этой gMSA, поскольку она очень безопасна и не нужно беспокоиться о том, чтобы где-то записать пароль.

Обычная учетная запись службы в настоящее время используется:

• Синхронизация Azure AD
• ADFS
• SQL-сервер

Как лучше всего использовать gMSA, а когда НЕ использовать gMSA?

Заранее спасибо.