Включение входа службы для учетных записей, используемых для запуска от имени.

Наилучшей практикой безопасности является отключение интерактивных и удаленных интерактивных сеансов для учетных записей служб. Группы безопасности в разных организациях имеют строгие средства контроля, чтобы применить эту рекомендацию, чтобы предотвратить кражу учетных данных и связанных атак.

System Center Operations Manager поддерживает ужесточение учетных записей служб и не требует предоставления права разрешить локальный вход в систему для нескольких учетных записей, необходимых для поддержки Operations Manager.

Более ранние версии Operations Managers имели разрешение на локальный вход в качестве типа входа по умолчанию. По умолчанию Operations Manager использует вход службы. Это приводит к следующим изменениям:

• Служба здравоохранения использует вход по умолчанию с типом Service. Для Operations Manager 2016 версии она была интерактивной.
• Учетные записи действий и службы в Operations Manager теперь имеют разрешение на вход в качестве службы.
• Учетные записи действий и учетные записи Run As должны иметь разрешение Вход в качестве службы для выполнения MonitoringHost.exe. Подробнее.

Изменения учетных записей действий в Operations Manager

Следующим учетным записям предоставляется разрешение вход в систему как служба во время установки Operations Manager, а также при обновлении с предыдущих версий.

• Учетная запись действий сервера управления

• Служба конфигурации System Center и учетные записи службы доступа к данным System Center

• Учет действий агента

• Учетная запись для записи в хранилище данных

• учетная запись для чтения данных

  

После этого изменения все учетные записи Run As, созданные администраторами Operations Manager для пакетов управления (MPs), требуют права на вход как служба, которые администраторы должны предоставить.

Просмотр типа аутентификации для серверов управления и агентов

Вы можете просмотреть тип входа для серверов управления и агентов из консоли Operations Manager.

Чтобы просмотреть тип входа для серверов управления, перейдите на Администрирование>Operations Manager Products>Серверы управления.

Чтобы просмотреть тип входа для агентов, перейдите в раздел Администрирование>Operations Manager Продукты>Агенты.

Разрешить разрешение на вход в службу для учетных записей "Запуск от имени"

Выполните следующие действия:

1. Войдите с правами администратора на компьютер, с которого вы хотите предоставить разрешение на вход в качестве службы для учетных записей Run As.

2. Перейдите к средствам администрирования и выберите локальную политику безопасности.

3. Разверните локальную политику и выберите назначение прав пользователя.

4. В правой области щелкните правой кнопкой мыши "Вход как служба" и выберите "Свойства".

5. Нажмите кнопку "Добавить пользователя" или "Группа ", чтобы добавить нового пользователя.

6. В диалоговом окне "Выбор пользователей или групп" найдите пользователя, который вы хотите добавить и нажмите кнопку "ОК".

7. Нажмите кнопку "ОК" в разделе "Вход в качестве службы", чтобы сохранить изменения.

   

Журнал изменений типа для службы здравоохранения

Если необходимо изменить тип входа службы работоспособности Operations Manager, чтобы разрешить вход локально, настройте параметр политики безопасности на локальном устройстве с помощью консоли локальной политики безопасности.

Приведем пример:

Устранение неполадок

Если у какой-либо из учетных записей “Запуск от имени” уже есть разрешение Вход в качестве службы, появится критическое оповещение, основанное на мониторе. Это оповещение показывает сведения об учетной записи, используемой для запуска процессов, которая не имеет разрешения на вход в качестве службы.

На компьютере агента откройте Просмотр событий. В журнале Operations Manager найдите событие с идентификатором 7002, чтобы просмотреть сведения об учетных записях Run As, требующих разрешения Вход в качестве службы.

Предоставьте разрешение на запуск в качестве службы для соответствующих учетных записей Run As, указанных в событии 7002. После того, как вы предоставите разрешение, появится идентификатор события 7028, а монитор будет в работоспособном состоянии.