windows-services - Windows サービスをドメインアカウントとして実行するために最低限必要な権限

Question

そのユーザーとして Windows サービスを実行するために、ドメインユーザーアカウントに付与する必要がある最小限の権限を知っている人はいますか?

簡単にするために、サービスは開始、停止、および「アプリケーション」イベントログへの書き込み以外には何もしないと仮定します。つまり、ネットワークアクセスやカスタムイベントログなどはありません。

組み込みの Service および NetworkService アカウントを使用できることはわかっていますが、ネットワークポリシーが原因でこれらを使用できない可能性があります。

score 83 · Accepted Answer

ふたつのやり方：

サービスのプロパティを編集し、ログオンユーザーを設定します。適切な権限が自動的に割り当てられます。
手動で設定します: [管理ツール] -> [ローカルセキュリティポリシー] -> [ローカルポリシー] -> [ユーザー権利の割り当て] に移動します。「サービスとしてログオン」項目を編集し、そこにドメインユーザーを追加します。

score 4 · Accepted Answer

アカウントに「サービスとしてログオン」権限が必要であることは知っています。それ以外はわかりません。サービスとしてログオンするためのクイックリファレンスはここにあります。また、ここには特定の権限に関する多くの情報があります。

score 2 · Accepted Answer

「BypassTraverseChecking」は、中間のディレクトリへのすべての中間アクセス権限を持っていない場合でも、深いレベルのサブディレクトリに直接アクセスできることを意味します。つまり、ルートレベルまでのすべてのディレクトリです。

score 1 · Accepted Answer

リンクをありがとう、クリス。「BypassTraverseChecking」のような特権の特定の効果についてよく疑問に思いましたが、調べようとはしませんでした。

サービスを実行する際に興味深い問題が発生し、管理者が最初のインストールを行った後、そのファイルにアクセスできないことがわかりました。ファイルの問題が見つかるまで、サービスとしてのログオンに加えて何かが必要だと思っていました。

所有権の取得中は、親ディレクトリからのアクセス許可の継承を無効にし、ツリーの下に再帰的にアクセス許可を適用する必要がありました。

ただし、サービスアカウントを一時的に管理者にすることを避けるための「所有権を与える」オプションを見つけることができませんでした。

とにかく、他の誰かが同じ道を進んでいる場合に備えて、これを投稿すると思いました.

windows-services - Windows サービスをドメイン アカウントとして実行するために最低限必要な権限