最小權限來運行一個Windows服務作爲域帳戶

Question

有誰知道什麼是我需要授予域用戶帳戶來運行Windows服務爲用戶起碼的權利？

爲簡單起見，假設服務在不執行任何操作及以上啓動，停止，並寫入到「應用程序」事件日誌 - 即沒有網絡接入，沒有自定義事件日誌等

我知道我可以使用內置的Service和NetworkService帳戶，但可能由於網絡策略的原因，我可能無法使用這些帳戶。

Answer 1

兩種方式：服務的

1. 編輯的屬性和設置的登錄用戶。適當的權利將被自動分配。

2. 將其設置手動：進入管理工具 - >本地安全策略 - >本地策略 - >用戶權利指派。編輯項目「作爲服務登錄」並在那裏添加您的域用戶。

Answer 2

我知道該帳戶需要具有「以服務登錄」權限。除此之外，我不確定。登錄即服務的快速參考可以找到here，並且有許多特定權限的信息here。

Answer 3

感謝您的鏈接，克里斯。我經常想知道像「BypassTraverseChecking」這樣的特權的具體效果，但從來沒有打擾過查看它們。

我有有趣的問題得到一個服務運行，發現它並沒有進入它的文件的初始安裝已經由管理員完成之後。我認爲除了登錄爲服務之外，還需要一些東西，直到找到文件問題。

1）禁用簡單文件共享。 2）暫時讓我的服務帳戶成爲管理員。 3）使用服務帳戶來獲取文件的所有權。 4）從管理員組中刪除服務帳戶。 5）重新啓動。

在取得所有權，有必要從父目錄，以禁用權限繼承和遞歸地應用權限下的樹。但是，無法找到「」給予所有權「選項以避免將服務帳戶暫時設爲管理員。

反正以爲我會張貼此萬一別人下去的時候我一直在尋找安全政策問題上有着相同的道路，當它真的只是文件系統權限。

Answer 4

「BypassTraverseChecking」意味着即使您沒有對中間目錄的所有中介訪問權限（即其上的所有目錄朝向根級別）的直接訪問權限，也可以直接訪問任何深層子目錄。