GMSA kaum sicherer als pre-set ServiceAccount?

Hallo zusammen noch im alten Jahr!

ich frage mich gerade, ob die Sicherheit von diesen group-managed Service Accounts nicht ein Sicherheits-Kuhhandel bzw. potentiell sogar unsicherer als Servicekonten sind.

gMSA Accounts wurden ja mit Server 2012 eingeführt, um über AD verwaltet Konten bereitzustellen, wo das Passwort vom AD verwaltet wird.
Man stellt direkt im Objekt ein, welche Computerobjekte darauf zugreifen können und es nutzen können

Oft ist es ja Usus, einen Serviceaccount ("domain\service") zu erstellen mit fixem, hoffentlich komplexen Passwort, dass dann gesetzt und im Tresor abgelegt wird.

Für Angreifer ein gefundenes Fressen, wenn sie das System kompromittieren, heißt es.
Aber ist das dann für gMSA nicht genauso der Fall? Vor allem, wenn sie genau so einen Host erwischen, der berechtigt ist, im Zuge der Ausbreitung im System.

Zwar gibt es hier wohl kein Passwort, das er im Klartext bzw. in den Anwendungseinstellungen oder im Hash hinterlegt abgreifen kann.
Aber wenn das System übernommen wurde, braucht ein Angreifer nur herausfinden, dass ein gMSA genutzt wird, hier den Namen des Kontos nehmen und schon kann er es frei am System nutzen, für das der gMSA Account gesetzt ist.

Natürlich in beiden Fällen fatal, wenn das gMSA bzw. Servicekonto Mitglied der Domänenadministratoren ist.
Best practice ist natürlich, so wenig Berechtigungen wie möglich zu vergeben, ist klar.
Aber zb. AD-Backup braucht Domain-Admin Rechte.
lokales Systemkonto wäre für lokale Tasks besser, aber manchmal (Scripts) geht es um Remote-Prozedueren. Sei es AD-Abfrage, Exchange-Tasks, ... you name it.

Und vermutlich hat man ohnehin schon eine extrem kritische Situation, wenn ein Angreifer im lateral movement bis zu dem Punkt vordringt, da was heraus zu finden.

Oder fabriziere ich mir da gedanklich zu viel zusammen?

Ansonsten schonmal einen guten Rutsch ins neue Jahr!