Поделиться через

Защита учетных записей локальных компьютеров с помощью Active Directory

  • Статья

Учетная запись компьютера или учетная запись LocalSystem имеет высокий уровень привилегий с доступом к почти всем ресурсам на локальном компьютере. Учетная запись не связана с учетными записями пользователей, вошедшего в систему. Службы запускаются как локальные сетевые ресурсы, предоставляя учетные данные компьютера удаленным серверам в формате <domain_name>\\<computer_name>$. Предопределенное имя NT AUTHORITY\SYSTEMучетной записи компьютера. Вы можете запустить службу и предоставить контекст безопасности для этой службы.

Screenshot of a list of local services on a computer account.

Преимущества использования учетной записи компьютера

Учетная запись компьютера имеет следующие преимущества:

  • Неограниченный локальный доступ — учетная запись компьютера обеспечивает полный доступ к локальным ресурсам компьютера
  • Автоматическое управление паролями — удаляет необходимость вручную измененных паролей. Учетная запись является членом Active Directory, и его пароль изменяется автоматически. При использовании учетной записи компьютера не требуется регистрировать имя субъекта-службы.
  • Ограниченные права доступа на компьютере — список управления доступом по умолчанию в службах домен Active Directory (AD DS) обеспечивает минимальный доступ к учетным записям компьютеров. Во время доступа неавторизованного пользователя служба имеет ограниченный доступ к сетевым ресурсам.

Оценка безопасности учетной записи компьютера

Используйте следующую таблицу для проверки потенциальных проблем и устранения проблем с учетной записью компьютера.

Проблема с учетной записью компьютера Исправление
Учетные записи компьютеров удаляются и создаются повторно, когда компьютер покидает домен и снова присоединяется к нему. Подтвердите требование, чтобы добавить компьютер в группу Active Directory. Чтобы проверить учетные записи компьютеров, добавленные в группу, используйте скрипты в следующем разделе.
При добавлении учетной записи компьютера в группу службы, которые выполняются как LocalSystem на этом компьютере, получают права доступа к группе. Выборочная информация о членстве в группах учетных записей компьютеров. Не делайте учетную запись компьютера членом группы администраторов домена. Связанная служба имеет полный доступ к AD DS.
Неточные значения сети по умолчанию для LocalSystem. Не предполагайте, что учетная запись компьютера имеет ограниченный доступ к сетевым ресурсам по умолчанию. Вместо этого подтвердите членство в группах для учетной записи.
Неизвестные службы, работающие от имени LocalSystem. Убедитесь, что службы, выполняемые под учетной записью LocalSystem, являются службы Майкрософт или доверенными службами.

Поиск служб и учетных записей компьютеров

Чтобы найти службы, выполняемые под учетной записью компьютера, используйте следующий командлет PowerShell:

Get-WmiObject win32_service | select Name, StartName | Where-Object {($_.StartName -eq "LocalSystem")}

Чтобы найти учетные записи компьютеров, входящие в определенную группу, выполните следующий командлет PowerShell:

Get-ADComputer -Filter {Name -Like "*"} -Properties MemberOf | Where-Object {[STRING]$_.MemberOf -like "Your_Group_Name_here*"} | Select Name, MemberOf

Чтобы найти учетные записи компьютеров, которым присвоено членство в группах администраторов удостоверений ("Администраторы домена", "Администраторы предприятия" и "Администраторы"), выполните следующий командлет PowerShell:

Get-ADGroupMember -Identity Administrators -Recursive | Where objectClass -eq "computer"

Рекомендации по учетной записи компьютера

Важно!

Учетные записи компьютеров имеют высокий уровень привилегий, поэтому используйте их, если вашей службе требуется неограниченный доступ к локальным ресурсам, на компьютере и вы не можете использовать управляемую учетную запись службы (MSA).

  • Подтверждение запуска службы владельца службы с помощью MSA
  • Используйте управляемую группу учетную запись службы (gMSA) или автономную управляемую учетную запись службы (sMSA), если служба поддерживает ее.
  • Использование учетной записи пользователя домена с разрешениями, необходимыми для запуска службы

Следующие шаги

Дополнительные сведения о защите учетных записей служб см. в следующих статьях: