Учетные записи входа в службу

Служба, как и любой процесс, имеет основное удостоверение безопасности, определяющее предоставленные права доступа и привилегии для локальных и сетевых ресурсов. Это удостоверение безопасности или контекст безопасности также определяет потенциал службы для повреждения локальных и сетевых ресурсов.

Контекст безопасности для службы Microsoft Win32 определяется учетной записью входа, которая используется для запуска службы. В этом разделе рассматриваются проблемы программирования и рекомендации, касающиеся учетной записи входа в службу, используемой службами Win32, с акцентом на службы с поддержкой каталогов. В этом разделе приведены следующие разделы:

• Учетные записи входа в службу— общие сведения о учетных записях входа службы и проблемах программирования контекста безопасности для службы Win32.
• рекомендации по выбору учетной записи входа службы для службы Win32.
• настройка учетной записи пользователя службы.
• установка службы на хост-компьютере и указание учетной записи входа в службу.
• предоставление входа в качестве службы прямо на хост-компьютере— предоставление учетной записи пользователя службы в качестве службы прямо на хост-компьютере.
• тестирование того, выполняется ли на контроллере домена— обнаружение во время установки экземпляра службы на контроллере домена.
• предоставление прав доступа учетной записи входа в службу— настройка и обслуживание acEs и членства в группах, чтобы система предоставила запущенной службе доступ к необходимым локальным и сетевым ресурсам.
• изменение пароля учетной записи пользователя службы— изменение пароля учетной записи пользователя службы и одновременное обновление пароля, зарегистрированного в диспетчере управления службами, на каждом сервере узла, на котором установлена служба.
• взаимная проверка подлинности с помощью Kerberos— сохранение регистрации имени субъекта-службы в объекте каталога, связанном с учетной записью входа в систему каждого экземпляра службы. Имена субъектов-служб позволяют клиентам проходить проверку подлинности службы с помощью взаимной проверки подлинности Kerberos.
• преобразование форматов имени учетной записи домена— например, преобразование различающегося имени в формат доменных**\**имени пользователя и наоборот.