Účty používané v nástroji Správce konfigurace

Platí pro: Správce konfigurace (Current Branch)

Pomocí následujících informací identifikujte skupiny, účty a objekty SQL Server systému Windows, které se používají v Správce konfigurace, způsob jejich použití a požadavky.

Důležité

Pokud zadáváte účet ve vzdálené doméně nebo doménové struktuře, je nutné před uživatelským jménem zadat plně kvalifikovaný název domény, nikoli pouze název NetBIOS domény. Zadejte třeba Corp.Contoso.com\UserName, ne jen Corp\UserName. To umožňuje nástroji Správce konfigurace používat protokol Kerberos, když se účet používá k ověření ve vzdáleném systému lokality. Použití plně kvalifikovaného názvu domény často opraví chyby ověřování způsobené nedávnými změnami v posílení zabezpečení v souvislosti s protokolem NTLM v měsíčních aktualizacích Windows.

Skupiny Windows, které Správce konfigurace vytváří a používá

Správce konfigurace automaticky vytvoří a v mnoha případech automaticky udržuje následující skupiny Windows:

Poznámka

Když Správce konfigurace vytvoří skupinu na počítači, který je členem domény, skupina je místní skupinou zabezpečení. Pokud počítač představuje řadič domény, je skupina místní skupinou domény. Tento typ skupiny je sdílen mezi všemi řadiči domény v doméně.

Konfigurační Manager_CollectedFilesAccess

Správce konfigurace používá tuto skupinu k udělení přístupu k zobrazení souborů shromážděných inventářem softwaru.

Další informace najdete v tématu Úvod do inventáře softwaru.

Typ a umístění CollectedFilesAccess

Tato skupina je místní skupina zabezpečení vytvořená na serveru primární lokality.

Když odinstalujete web, tato skupina se automaticky neodebere. Po odinstalaci webu ho ručně odstraňte.

Členství v CollectedFilesAccess

Správce konfigurace automaticky spravuje členství ve skupině. Členství zahrnuje uživatele s právy práv, kterým je uděleno oprávnění Zobrazit shromážděné Files k zabezpečenému objektu kolekce z přiřazené role zabezpečení.

Oprávnění pro CollectedFilesAccess

Ve výchozím nastavení má tato skupina oprávnění ke čtení pro následující složku na serveru lokality: C:\Program Files\Microsoft Configuration Manager\sinv.box\FileCol

Konfigurační Manager_DViewAccess

Tato skupina je místní skupina zabezpečení, kterou Správce konfigurace vytvoří na databázovém serveru lokality nebo na serveru repliky databáze pro podřízenou primární lokalitu. Lokalita ji vytvoří, když použijete distribuovaná zobrazení pro replikaci databáze mezi lokalitami v hierarchii. Obsahuje serverové účty lokality a počítačové účty SQL Server lokality centrální správy.

Další informace naleznete v tématu Přenosy dat mezi lokalitami.

Uživatelé vzdáleného řízení nástroje Správce konfigurace

Vzdálené nástroje nástroje nástroje Správce konfigurace používají tuto skupinu k ukládání účtů a skupin, které nastavíte v seznamu Povolené prohlížeče. Web přiřadí tento seznam každému klientovi.

Další informace naleznete v tématu Úvod do dálkového ovládání.

Typ a umístění pro uživatele vzdáleného řízení

Tato skupina je místní skupina zabezpečení vytvořená v klientovi nástroje Správce konfigurace, když klient obdrží zásadu, která povoluje vzdálené nástroje.

Když pro klienta zakážete vzdálené nástroje, tato skupina se automaticky neodebere. Po zakázání vzdálených nástrojů ji ručně odstraňte.

Členství pro uživatele vzdáleného řízení

Ve výchozím nastavení nejsou v této skupině žádní členové. Pokud do seznamu Povolené prohlížeče přidáte uživatele, přidají se do této skupiny automaticky.

Ke správě členství v této skupině použijte seznam Povolení diváci , místo abyste do ní přímo přidávali uživatele nebo skupiny.

Kromě toho, že je uživatel s oprávněním pro správu, musí mít oprávnění pro vzdálené řízení objektu Kolekce . Toto oprávnění můžete přiřadit pomocí bezpečnostní role Remote Tools Operator .

Oprávnění pro uživatele vzdáleného řízení

Ve výchozím nastavení nemá tato skupina oprávnění pro přístup k žádným umístěním v počítači. Používá se pouze k uchovávání seznamu povolených diváků .

Správci SMS

Správce konfigurace používá tuto skupinu k udělení přístupu k poskytovateli serveru SMS prostřednictvím rozhraní WMI. K zobrazení a změnám objektů v konzole nástroje Správce konfigurace je vyžadován přístup k poskytovateli serveru SMS.

Poznámka

Konfigurace správy na základě rolí uživatele s právy určuje, které objekty může zobrazit a spravovat při použití konzoly Správce konfigurace.

Další informace naleznete v tématu Plán pro poskytovatele serveru SMS.

Typ a umístění pro správce SMS

Tato skupina je místní skupina zabezpečení vytvořená na každém počítači, který má poskytovatele SMS.

Když odinstalujete web, tato skupina se automaticky neodebere. Po odinstalaci webu ho ručně odstraňte.

Členství pro správce SMS

Správce konfigurace automaticky spravuje členství ve skupině. Ve výchozím nastavení je každý uživatel s právy pro správu v hierarchii a účet počítače serveru lokality členy skupiny Správci serveru SMS na každém počítači poskytovatele serveru SMS v lokalitě.

Oprávnění pro správce SMS

Práva a oprávnění pro skupinu Správci serveru SMS můžete zobrazit v modulu snap-in Ovládací prvek služby WMI konzoly MMC. Ve výchozím nastavení je této skupině udělena Root\SMSmožnost Povolit účet a Vzdálené povolení v oboru názvů WMI. Ověření uživatelé mají účet Execute Methods, Provider Write a Enable .

Když používáte vzdálenou konzolu nástroje Správce konfigurace, nakonfigurujte oprávnění DCOM vzdálené aktivace na počítači serveru lokality i u poskytovatele serveru SMS. Tato práva udělte skupině SMS . Tato akce zjednodušuje správu, místo aby byla tato práva udělována přímo uživatelům nebo skupinám. Další informace naleznete v tématu Konfigurace oprávnění DCOM pro vzdálené konzoly nástroje Správce konfigurace.

SMS_SiteSystemToSiteServerConnection_MP_<sitecode>

Body správy, které jsou vzdálené od serveru lokality, používají tuto skupinu pro připojení k databázi lokality. Tato skupina poskytuje přístup k bodu správy ke složkám doručené pošty na serveru lokality a k databázi lokality.

Typ a umístění SMS_SiteSystemToSiteServerConnection_MP

Tato skupina je místní skupina zabezpečení vytvořená na každém počítači, který má poskytovatele SMS.

Když odinstalujete web, tato skupina se automaticky neodebere. Po odinstalaci webu ho ručně odstraňte.

Členství pro SMS_SiteSystemToSiteServerConnection_MP

Správce konfigurace automaticky spravuje členství ve skupině. Ve výchozím nastavení členství zahrnuje účty počítačů vzdálených počítačů, které mají bod správy pro danou lokalitu.

Oprávnění pro SMS_SiteSystemToSiteServerConnection_MP

Ve výchozím nastavení má tato skupina oprávnění ke čtení, čtení & spouštění a výpisu obsahu složky pro následující složku na serveru lokality: C:\Program Files\Microsoft Configuration Manager\inboxes. Tato skupina má také oprávnění k zápisu do podsložek pod doručenou poštou, do kterých bod správy zapisuje data klienta.

SMS_SiteSystemToSiteServerConnection_SMSProv_<sitecode>

Počítače vzdálených poskytovatelů SMS používají tuto skupinu pro připojení k serveru lokality.

Typ a umístění SMS_SiteSystemToSiteServerConnection_SMSProv

Tato skupina je místní skupina zabezpečení vytvořená na serveru lokality.

Když odinstalujete web, tato skupina se automaticky neodebere. Po odinstalaci webu ho ručně odstraňte.

Členství pro SMS_SiteSystemToSiteServerConnection_SMSProv

Správce konfigurace automaticky spravuje členství ve skupině. Ve výchozím nastavení zahrnuje členství účet počítače nebo uživatelský účet domény. Tento účet používá k připojení k serveru lokality od každého vzdáleného poskytovatele SMS.

Oprávnění pro SMS_SiteSystemToSiteServerConnection_SMSProv

Ve výchozím nastavení má tato skupina oprávnění ke čtení, čtení & spouštění a výpisu obsahu složky pro následující složku na serveru lokality: C:\Program Files\Microsoft Configuration Manager\inboxes. Tato skupina má také oprávnění k zápisu a úpravám v podsložkách pod doručenou poštou. Poskytovatel serveru SMS vyžaduje přístup k těmto složkám.

Tato skupina má také oprávnění ke čtení pro podsložky na serveru webu níže C:\Program Files\Microsoft Configuration Manager\OSD\Bin.

Má také následující oprávnění k podsložkám dole C:\Program Files\Microsoft Configuration Manager\OSD\boot:

  • Přečtěte si
  • Čtení & spouštění
  • Zobrazení obsahu složky
  • Psaní
  • Změnit

SMS_SiteSystemToSiteServerConnection_Stat_<sitecode>

Komponenta správce odesílání souborů na počítačích se vzdáleným systémem lokality Správce konfigurace používá tuto skupinu k připojení k serveru lokality.

Typ a umístění SMS_SiteSystemToSiteServerConnection_Stat

Tato skupina je místní skupina zabezpečení vytvořená na serveru lokality.

Když odinstalujete web, tato skupina se automaticky neodebere. Po odinstalaci webu ho ručně odstraňte.

Členství pro SMS_SiteSystemToSiteServerConnection_Stat

Správce konfigurace automaticky spravuje členství ve skupině. Ve výchozím nastavení členství zahrnuje účet počítače nebo uživatelský účet domény. Tento účet používá k připojení k serveru lokality z každého vzdáleného systému lokality, který spouští správce odesílání souborů.

Oprávnění pro SMS_SiteSystemToSiteServerConnection_Stat

Ve výchozím nastavení má tato skupina oprávnění Číst, Číst & spouštět a Výpis obsahu složky pro následující složku a její podsložky na serveru lokality: C:\Program Files\Microsoft Configuration Manager\inboxes.

Tato skupina má také oprávnění k zápisu a úpravám k následující složce na serveru webu: C:\Program Files\Microsoft Configuration Manager\inboxes\statmgr.box.

SMS_SiteToSiteConnection_<sitecode>

Správce konfigurace používá tuto skupinu k povolení replikace založené na souborech mezi lokalitami v hierarchii. Pro každou vzdálenou lokalitu, která přímo přenáší soubory do této lokality, má tato skupina nastavené účty jako účet replikace souborů.

Typ a umístění SMS_SiteToSiteConnection

Tato skupina je místní skupina zabezpečení vytvořená na serveru lokality.

Členství pro SMS_SiteToSiteConnection

Když nainstalujete novou lokalitu jako podřízenou jinou lokalitu, Správce konfigurace automaticky přidá počítačový účet nového serveru lokality do této skupiny na nadřazeném serveru lokality. Správce konfigurace také přidá účet počítače nadřazené lokality do skupiny na novém serveru lokality. Pokud pro přenosy založené na souborech zadáte jiný účet, přidejte tento účet do této skupiny na serveru cílové lokality.

Když odinstalujete web, tato skupina se automaticky neodebere. Po odinstalaci webu ho ručně odstraňte.

Oprávnění pro SMS_SiteToSiteConnection

Ve výchozím nastavení má tato skupina úplné řízení následující složky: C:\Program Files\Microsoft Configuration Manager\inboxes\despoolr.box\receive

Účty, které používá nástroj Správce konfigurace

Pro nástroj Správce konfigurace můžete nastavit následující účty.

Tip

Nepoužívejte znak procenta (%) v hesle pro účty, které zadáte v konzole Správce konfigurace. Ověření účtu se nezdaří.

služba Active Directory group discovery account

Lokalita používá účet zjišťování skupiny služby služba Active Directory ke zjištění následujících objektů z vámi určených umístění ve službě Active Directory Domain Services:

  • Místní, globální a univerzální skupiny zabezpečení.
  • Členství v těchto skupinách.
  • Členství v distribučních skupinách.
    • Distribuční skupiny se nezjistí jako prostředky skupiny.

Tento účet může být počítačový účet serveru lokality, na kterém je spuštěné zjišťování, nebo uživatelský účet Windows. Musí mít oprávnění ke čtení k umístěním služby služba Active Directory, která určíte pro zjišťování.

Další informace najdete v tématu Zjišťování skupiny služby služba Active Directory.

služba Active Directory system discovery account

Lokalita používá účet zjišťování systému služby služba Active Directory ke zjišťování počítačů z umístění ve službě Active Directory Domain Services, která zadáte.

Tento účet může být počítačový účet serveru lokality, na kterém je spuštěné zjišťování, nebo uživatelský účet Windows. Musí mít oprávnění ke čtení k umístěním služby služba Active Directory, která určíte pro zjišťování.

Další informace najdete v tématu Zjišťování systému služby služba Active Directory.

služba Active Directory user discovery account

Lokalita používá účet zjišťování uživatelů služby služba Active Directory ke zjišťování uživatelských účtů z vámi určených umístění ve službě Active Directory Domain Services.

Tento účet může být počítačový účet serveru lokality, na kterém je spuštěné zjišťování, nebo uživatelský účet Windows. Musí mít oprávnění ke čtení k umístěním služby služba Active Directory, která určíte pro zjišťování.

Další informace najdete v tématu Zjišťování uživatelů služby služba Active Directory.

Účet doménové struktury služba Active Directory

Lokalita používá účet doménové struktury služba Active Directory ke zjišťování síťové infrastruktury z doménových struktur služba Active Directory. Lokality centrální správy a primární lokality ho také používají k publikování dat lokality do služby Active Directory Domain Services pro doménovou strukturu.

Poznámka

Sekundární lokality vždy používají k publikování do služby služba Active Directory účet sekundárního serverového počítače lokality.

Aby bylo možné vyhledávat a publikovat v nedůvěryhodných doménových strukturách, musí být účet doménové struktury služba Active Directory globálním účtem. Pokud nepoužíváte účet počítače serveru lokality, můžete vybrat jenom globální účet.

Tento účet musí mít oprávnění ke čtení pro každou doménovou strukturu služba Active Directory, ve které chcete zjišťovat síťovou infrastrukturu.

Tento účet musí mít oprávnění Úplné řízení ke kontejneru správy systému a všem jeho podřízeným objektům v každé doménové struktuře služba Active Directory, do které chcete data webu publikovat.

Další informace naleznete v tématu Příprava služby služba Active Directory pro publikování webu.

Další informace najdete v tématu Zjišťování doménové struktury služba Active Directory.

Účet registračního bodu certifikátu

Upozornění

Od verze 2203 se bod registrace certifikátu už nepodporuje. Další informace najdete v tématu Nejčastější dotazy k vyřazení přístupu k prostředkům.

Bod registrace certifikátu používá účet bodu registrace certifikátu k připojení k databázi Správce konfigurace. Ve výchozím nastavení používá svůj počítačový účet, ale můžete místo něj nakonfigurovat uživatelský účet. Pokud je bod registrace certifikátu v nedůvěryhodné doméně ze serveru lokality, musíte zadat uživatelský účet. Tento účet vyžaduje jenom přístup pro čtení databáze lokality, protože systém zpráv stavu zpracovává úlohy zápisu.

Další informace najdete v tématu Úvod do profilů certifikátů.

Capture OS image account

Při pořizování image operačního systému Správce konfigurace použije účet image operačního systému Capture pro přístup ke složce, do které ukládáte zachycené obrázky. Pokud do pořadí úkolů přidáte krok Capture image operačního systému, je tento účet povinný.

Účet musí mít oprávnění pro čtení a zápis ke sdílené síťové složce, do které ukládáte pořízené obrázky.

Pokud změníte heslo účtu ve Windows, aktualizujte pořadí úkolů pomocí nového hesla. Klient Správce konfigurace obdrží nové heslo při příštím stažení zásad klienta.

Pokud tento účet potřebujete používat, vytvořte jeden uživatelský účet domény. Udělte mu minimální oprávnění pro přístup k požadovaným síťovým prostředkům a použijte ho pro všechna pořadí úkolů zachytávání.

Důležité

Nepřiřazujte k tomuto účtu interaktivní přihlašovací oprávnění.

Nepoužívejte u tohoto účtu účet pro přístup k síti.

Další informace najdete v tématu Vytvoření pořadí úkolů pro zachycení operačního systému.

Účet nabízené instalace klienta

Při nasazování klientů pomocí metody nabízené instalace klienta lokalita použije účet nabízené instalace klienta k připojení k počítačům a instalaci klientského softwaru nástroje Správce konfigurace. Pokud tento účet nezadáte, server lokality se pokusí použít svůj účet počítače.

Tento účet musí být členem místní skupiny Administrators na cílových klientských počítačích. Tento účet nevyžaduje oprávnění Správa domény.

Můžete zadat více než jeden účet nabízené instalace klienta. Správce konfigurace zkouší každý z nich, dokud neuspěje.

Tip

Pokud máte rozsáhlé prostředí služby služba Active Directory a potřebujete změnit tento účet, použijte následující postup k efektivnější koordinaci aktualizace tohoto účtu:

  1. Vytvořte nový účet s jiným názvem.
  2. Přidejte nový účet do seznamu účtů nabízené instalace klienta v nástroji Správce konfigurace.
  3. Nechte službě Active Directory Domain Services dostatek času na replikaci nového účtu.
  4. Pak odeberte starý účet z nástroje Správce konfigurace a ze služby Active Directory Domain Services.

Důležité

Pomocí zásad domény nebo místní skupiny přiřaďte uživateli systému Windows právo odepřít místní přihlášení. Jako člen skupiny Administrators bude mít tento účet právo místního přihlašování, což není potřeba. Pro lepší zabezpečení explicitně odepřete právo na tento účet. Právo na odepření nahrazuje právo povolit.

Další informace naleznete v tématu Nabízená instalace klienta.

Připojovací účet registračního bodu

Bod registrace používá účet připojení registračního bodu k připojení k databázi lokality Správce konfigurace. Ve výchozím nastavení používá svůj počítačový účet, ale můžete místo něj nakonfigurovat uživatelský účet. Pokud je bod zápisu v nedůvěryhodné doméně ze serveru lokality, je nutné zadat uživatelský účet. Tento účet vyžaduje k databázi webu přístup pro čtení i zápis .

Další informace najdete v tématu Instalace rolí systému lokality pro místní MDM.

Účet připojení k serveru Exchange Server

Server lokality používá účet připojení k serveru Exchange Server pro připojení k zadanému serveru Exchange Server. Používá ho k vyhledávání a správě mobilních zařízení, která se připojují k serveru Exchange Server. Tento účet vyžaduje rutiny Exchange PowerShellu, které poskytují požadovaná oprávnění pro počítač se serverem Exchange Server. Další informace o rutinách najdete v tématu Instalace a konfigurace Exchange Connectoru.

Účet připojení bodu správy

Bod správy používá účet připojení bodu správy k připojení k databázi lokality Správce konfigurace. Používá ho k odesílání a načítání informací pro klienty. Bod správy ve výchozím nastavení používá svůj účet počítače, ale místo toho můžete nakonfigurovat alternativní účet služby. Pokud je bod správy v nedůvěryhodné doméně ze serveru lokality, musíte zadat alternativní účet služby.

Poznámka

Z důvodu vylepšeného stavu zabezpečení se doporučuje pro "Účet připojení bodu správy" využít alternativní účet služby místo účtu počítače.

Vytvořte účet jako účet služby s nízkým pravidlem na počítači, na kterém běží Microsoft SQL Server.

Důležité

  • Neudělujte tomuto účtu interaktivní přihlašovací práva.
  • Pokud zadáváte účet ve vzdálené doméně nebo doménové struktuře, je nutné před uživatelským jménem zadat plně kvalifikovaný název domény, nikoli pouze název NetBIOS domény. Zadejte třeba Corp.Contoso.com\UserName, ne jen Corp\UserName. To umožňuje nástroji Správce konfigurace používat protokol Kerberos, když se účet používá k ověření ve vzdáleném systému lokality. Použití plně kvalifikovaného názvu domény často opraví chyby ověřování způsobené nedávnými změnami v posílení zabezpečení v souvislosti s protokolem NTLM v měsíčních aktualizacích Windows.

Účet pro připojení vícesměrového vysílání

Distribuční body s povoleným vícesměrovým vysíláním používají účet připojení vícesměrového vysílání ke čtení informací z databáze lokality. Server používá ve výchozím nastavení svůj účet počítače, můžete však nakonfigurovat účet služby. Pokud je databáze lokality v nedůvěryhodné doménové struktuře, je nutné zadat účet služby. Pokud má vaše datacentrum například hraniční síť v jiné doménové struktuře, než je server lokality a databáze lokality, použijte tento účet ke čtení informací o vysílání multicast z databáze lokality.

Pokud tento účet potřebujete, vytvořte ho jako účet služby s nízkým nastavením na počítači, na kterém běží Microsoft SQL Server.

Poznámka

Z důvodu lepšího zabezpečení se doporučuje využít pro "účet připojení vícesměrového vysílání" spíše účet služby než účet počítače.

Důležité

Neudělujte tomuto účtu služby interaktivní přihlašovací práva.

Další informace naleznete v tématu Použití vícesměrového vysílání k nasazení systému Windows po síti.

Účet pro přístup k síti

Klientské počítače používají účet pro přístup k síti , když nemůžou použít svůj účet místního počítače pro přístup k obsahu v distribučních bodech. Většinou se týká klientů pracovní skupiny a počítačů z nedůvěryhodných domén. Tento účet se používá také při nasazování operačního systému, když počítač, který instaluje operační systém, ještě nemá účet počítače v doméně.

Poznámka

Správa klientů v nedůvěryhodných doménách a scénářích mezi doménovými strukturami umožňuje více účtů pro přístup k síti.

Důležité

Účet pro přístup k síti se nikdy nepoužívá jako kontext zabezpečení ke spouštění programů, instalaci aktualizací softwaru nebo spouštění pořadí úkolů. Používá se jenom pro přístup k prostředkům v síti.

Klient aplikace Správce konfigurace se nejprve pokusí použít svůj účet počítače ke stažení obsahu. Pokud se to nepodaří, automaticky se vyzkouší účet pro přístup k síti.

Pokud lokalitu nakonfigurujete pro protokol HTTPS nebo rozšířený protokol HTTP, může pracovní skupina nebo klient připojený k aplikaci Microsoft Entra bezpečně přistupovat k obsahu z distribučních bodů bez nutnosti účtu pro přístup k síti. Toto chování zahrnuje scénáře nasazení operačního systému se pořadím úloh spuštěným ze spouštěcího média, PXE nebo Centra softwaru. Další informace naleznete v tématu Komunikace mezi klientem a bodem správy.

Poznámka

Pokud povolíte rozšířený protokol HTTP tak, aby nevyžadoval účet pro přístup k síti, v distribučních bodech musí běžet aktuálně podporované verze systému Windows Server nebo Windows 10/11.

Oprávnění pro účet pro přístup k síti

Udělte tomuto účtu minimální příslušná oprávnění pro obsah, který klient potřebuje pro přístup k softwaru. Účet musí mít oprávnění Přístup k tomuto počítači ze sítě přímo v distribučním bodě. V jedné lokalitě můžete nakonfigurovat až 10 účtů pro přístup k síti.

Vytvořte účet v libovolné doméně, která poskytuje potřebný přístup k prostředkům. Účet pro přístup k síti musí vždy obsahovat název domény. Předávací zabezpečení není pro tento účet podporováno. Pokud máte distribuční body ve více doménách, vytvořte účet v důvěryhodné doméně.

Tip

Abyste se vyhnuli uzamčení účtů, neměňte heslo stávajícího účtu pro přístup k síti. Místo toho vytvořte nový účet a nastavte nový účet v nástroji Správce konfigurace. Po uplynutí dostatečné doby na to, aby všichni klienti obdrželi podrobnosti o novém účtu, odeberte starý účet ze sdílených složek sítě a účet odstraňte.

Důležité

Neudělujte tomuto účtu interaktivní přihlašovací práva.

Neudělujte tomuto účtu právo připojovat počítače k doméně. Pokud musíte počítače připojit k doméně během pořadí úkolů, použijte účet pro připojení k doméně pořadí úkolů.

Konfigurace účtu pro přístup k síti

  1. V konzole nástroje Správce konfigurace přejděte do pracovního prostoru Správa, rozbalte položku Konfigurace lokality a vyberte uzel Lokality. Pak vyberte web.

  2. Ve skupině Nastavení na pásu karet vyberte Konfigurovat součásti webu a zvolte Distribuce softwaru.

  3. Zvolte kartu Účet pro přístup k síti. Nastavte jeden nebo více účtů a pak zvolte OK.

Akce vyžadující účet pro přístup k síti

Účet pro přístup k síti je stále vyžadován pro následující akce (včetně scénářů eHTTP & PKI):

  • Vícesměrové vysílání. Další informace naleznete v tématu Použití vícesměrového vysílání k nasazení systému Windows po síti.

  • Možnost nasazení pořadí úkolů pro přístup k obsahu přímo z distribučního bodu, pokud to potřebuje spuštěné pořadí úkolů. Další informace najdete v tématu Možnosti nasazení pořadí úkolů.

  • Možnost pořadí kroků pořadí úkolů bitové kopie operačního systému použijte pro přístup k obsahu přímo z distribučního bodu. Tato možnost je určená především pro scénáře Windows Embedded s nedostatkem místa na disku, kde je ukládání obsahu do mezipaměti na místní disk nákladné. Další informace najdete v tématu Přístup k obsahu přímo z distribučního bodu.

  • Pokud se stažení balíčku z distribučního bodu pomocí protokolu HTTP/HTTPS nezdaří, může se vrátit ke stažení balíčku pomocí protokolu SMB ze sdílené složky balíčku v distribučním bodě. Stažení balíčku pomocí protokolu SMB ze sdílené složky balíčku v distribučním bodě vyžaduje použití účtu pro přístup k síti. K tomuto záložnímu chování dochází pouze v případě, že je ve vlastnostech balíčku na kartě Přístup k datům povolená možnost Kopírovat obsah v tomto balíčku do sdílené složky balíčku do sdílené složky balíčku. Pokud chcete toto chování zachovat, zajistěte, aby účet pro přístup k síti nebyl zakázaný nebo odebraný. Pokud toto chování už není žádoucí, ujistěte se, že v žádném balíčku není povolená možnost Kopírovat obsah v tomto balíčku do sdílené složky balíčku v distribučních bodech .

  • Krok pořadí úkolů úložiště stavu žádosti Pokud pořadí úkolů nemůže komunikovat s bodem migrace stavu pomocí účtu počítače zařízení, vrátí se k použití účtu pro přístup k síti. Další informace najdete v tématu Úložiště stavů požadavku.

  • Nastavení vlastností pořadí úkolů tak, aby se nejprve spustil jiný program. Toto nastavení spustí balíček a program ze sdílené síťové složky před zahájením pořadí úkolů. Další informace najdete v tématu Vlastnosti pořadí úkolů: karta Upřesnit.

Účet pro přístup k balíčkům

Účet pro přístup k balíčkům umožňuje nastavit oprávnění NTFS a určit uživatele a skupiny uživatelů, kteří mají přístup k obsahu balíčku v distribučních bodech. Ve výchozím nastavení Správce konfigurace uděluje přístup pouze obecným přístupovým účtům User a Administrator. Přístup ke klientským počítačům můžete řídit pomocí dalších účtů nebo skupin systému Windows. Mobilní zařízení vždy načítají obsah balíčku anonymně, takže nepoužívají účet pro přístup k balíčkům.

Ve výchozím nastavení, když Správce konfigurace zkopíruje soubory obsahu do distribučního bodu, udělí místní skupině Users přístup ke čtení a místní skupině Administrators oprávnění k úplnému řízení. Skutečná požadovaná oprávnění závisí na balíčku. Pokud máte klienty v pracovních skupinách nebo v nedůvěryhodných doménových strukturách, používají tito klienti pro přístup k obsahu balíčku účet síťového přístupu. Ujistěte se, že účet síťového přístupu má oprávnění k balíčku pomocí definovaných účtů pro přístup k balíčkům.

Použijte účty v doméně, která má přístup k distribučním bodům. Pokud vytvoříte nebo upravíte účet po vytvoření balíčku, musíte balíček znovu distribuovat. Při aktualizaci balíčku se nezmění oprávnění systému NTFS na balíčku.

Účet pro přístup k síti není nutné přidávat jako účet pro přístup k balíčkům, protože členství ve skupině Users jej přidá automaticky. Omezení účtu pro přístup k balíčkům jenom na účet pro přístup k síti klientům nezabrání v přístupu k balíčku.

Správa účtů pro přístup k balíčkům

  1. V konzole Správce konfigurace přejděte do pracovního prostoru Softwarová knihovna.

  2. V pracovním prostoru Softwarová knihovna určete typ obsahu, pro který chcete spravovat přístupové účty, a postupujte podle uvedených kroků:

    • Aplikace: Rozbalte Správa aplikací, zvolte Aplikace a pak vyberte aplikaci, pro kterou chcete spravovat přístupové účty.

    • Balíček: Rozbalte Správa aplikací, zvolte Balíčky a pak vyberte balíček, pro který chcete spravovat přístupové účty.

    • Balíček pro nasazení aktualizace softwaru: Rozbalte Aktualizace softwaru, zvolte Balíčky pro nasazení a pak vyberte balíček pro nasazení, pro který chcete spravovat přístupové účty.

    • Balíček ovladače: Rozbalte operační systémy, zvolte Balíčky ovladačů a pak vyberte balíček ovladače, pro který chcete spravovat přístupové účty.

    • Bitová kopie operačního systému: Rozbalte položku Operační systémy, zvolte Bitové kopie operačního systému a vyberte bitovou kopii operačního systému, pro kterou chcete spravovat přístupové účty.

    • Balíček pro upgrade operačního systému: Rozbalte Operační systémy, zvolte Balíčky pro upgrade operačního systému a pak vyberte balíček pro upgrade operačního systému, pro který chcete spravovat přístupové účty.

    • Spouštěcí image: Rozbalte operační systémy, zvolte spouštěcí image a pak vyberte spouštěcí image, pro kterou chcete spravovat přístupové účty.

  3. Klikněte pravým tlačítkem myši na vybraný objekt a zvolte Spravovat přístupové účty.

  4. V dialogovém okně Přidat účet zadejte typ účtu, kterému bude udělen přístup k obsahu, a pak určete přístupová práva přidružená k účtu.

    Poznámka

    Když přidáte uživatelské jméno pro účet a Správce konfigurace najde místní uživatelský účet i uživatelský účet domény s tímto názvem, Správce konfigurace nastaví přístupová práva pro uživatelský účet domény.

Bodový účet služby Reporting Services

SQL Server Reporting Services používá účet bodu služby Reporting Services k načtení dat pro sestavy nástroje Správce konfigurace z databáze lokality. Uživatelský účet a heslo systému Windows, které zadáte, jsou zašifrovány a uloženy v databázi služby SQL Server Reporting Services.

Poznámka

Účet, který zadáte, musí mít oprávnění k místnímu přihlášení na počítači, který je hostitelem databáze SQL Server Reporting Services.

Účtu se automaticky udělí všechna potřebná práva tím, že se přidá do role databáze smsschm_users SQL Server v databázi Správce konfigurace.

Další informace najdete v tématu Úvod do vytváření sestav.

Vzdálené nástroje s povolenými účty prohlížeče

Účty, které určíte jako Povolené prohlížeče pro vzdálené řízení, představují seznam uživatelů, kteří mohou v klientech používat funkce vzdálených nástrojů.

Další informace naleznete v tématu Úvod do dálkového ovládání.

Účet pro instalaci webu

Pomocí uživatelského účtu domény se přihlaste k serveru, na kterém spustíte instalaci nástroje Správce konfigurace a nainstalujete novou lokalitu.

Tento účet vyžaduje následující práva:

  • Správce na následujících serverech:

    • Server lokality
    • Každý server hostující databázi lokality
    • Každá instance poskytovatele serveru SMS pro lokalitu

  • Správce systému v instanci SQL Server, která je hostitelem databáze webu

Nastavení nástroje Správce konfigurace automaticky přidá tento účet do skupiny SMS Admins.

Po instalaci je tento účet jediný, který má práva ke konzole nástroje Správce konfigurace. Pokud potřebujete tento účet odebrat, nezapomeňte nejdřív přidat jeho práva jinému uživateli.

Při rozšiřování samostatné lokality tak, aby zahrnovala lokalitu centrální správy, vyžaduje tento účet v samostatné primární lokalitě práva správy na základě role úplného správce nebo správce infrastruktury .

Účet pro instalaci systému lokality

Server lokality používá instalační účet systému lokality k instalaci, přeinstalaci, odinstalaci a nastavení systémů lokality. Pokud systém lokality nastavíte tak, aby vyžadoval, aby server lokality inicioval připojení k tomuto systému lokality, Správce konfigurace tento účet také použije k načtení dat ze systému lokality po instalaci systému lokality a všech rolí. Každý systém lokality může mít jiný instalační účet, ale můžete nastavit jenom jeden instalační účet pro správu všech rolí v tomto systému lokality.

Tento účet vyžaduje oprávnění místního správce v systémech cílové lokality. Kromě toho musí mít tento účet v zásadách zabezpečení v systémech cílové lokality Přístup k tomuto počítači ze sítě .

Důležité

Pokud zadáváte účet ve vzdálené doméně nebo doménové struktuře, je nutné před uživatelským jménem zadat plně kvalifikovaný název domény, nikoli pouze název NetBIOS domény. Zadejte třeba Corp.Contoso.com\UserName, ne jen Corp\UserName. To umožňuje nástroji Správce konfigurace používat protokol Kerberos, když se účet používá k ověření ve vzdáleném systému lokality. Použití plně kvalifikovaného názvu domény často opraví chyby ověřování způsobené nedávnými změnami v posílení zabezpečení v souvislosti s protokolem NTLM v měsíčních aktualizacích Windows.

Tip

Pokud máte mnoho řadičů domény a tyto účty se používají napříč doménami, před nastavením systému lokality zkontrolujte, že služba služba Active Directory tyto účty replikovala.

Když zadáte účet služby v každém systému lokality, který se má spravovat, je tato konfigurace bezpečnější. Omezuje škody, které mohou útočníci napáchat. Správa doménových účtů je však snadnější. Zvažte kompromis mezi zabezpečením a efektivní správou.

Účet proxy serveru systému lokality

Následující role systému lokality používají účet proxy serveru systému lokality pro přístup k internetu přes proxy server nebo bránu firewall, která vyžaduje ověřený přístup:

  • Synchronizační bod Asset Intelligence
  • Konektor serveru Exchange Server
  • Spojovací bod služby
  • Bod aktualizace softwaru

Důležité

Zadejte účet, který má nejnižší možná oprávnění pro požadovaný proxy server nebo bránu firewall.

Další informace najdete v tématu Podpora proxy serveru.

Účet pro připojení k serveru SMTP

Server lokality používá účet pro připojení serveru SMTP k odesílání e-mailových upozornění, když server SMTP vyžaduje ověřený přístup.

Důležité

Zadejte účet, který má nejnižší možná oprávnění k odesílání e-mailů.

Další informace najdete v tématu Konfigurace upozornění.

Účet připojení k bodu aktualizace softwaru

Server lokality používá účet připojení bodu aktualizace softwaru pro následující dvě služby aktualizace softwaru:

  • Služba Windows Server Update Services (WSUS), která nastavuje nastavení, jako jsou definice produktů, klasifikace a nadřazená nastavení.

  • Správce synchronizace služby WSUS, který požaduje synchronizaci s nadřazeným serverem služby WSUS nebo službou Microsoft Update.

Instalační účet systému lokality může instalovat součásti pro aktualizace softwaru, ale nemůže v bodě aktualizace softwaru provádět funkce specifické pro aktualizaci softwaru. Pokud pro tuto funkci nemůžete použít účet počítače serveru lokality, protože bod aktualizace softwaru je v nedůvěryhodné doménové struktuře, musíte tento účet zadat spolu s účtem instalace systému lokality.

Tento účet musí být místním správcem v počítači, do kterého instalujete službu WSUS. Musí být také součástí místní skupiny správců služby WSUS .

Další informace najdete v tématu Plán aktualizací softwaru.

Účet zdrojového webu

Proces migrace používá účet zdrojové lokality pro přístup k poskytovateli SMS zdrojové lokality. Aby tento účet mohl shromažďovat data pro úlohy migrace, vyžaduje oprávnění ke čtení objektů webu na zdrojovém webu.

Pokud máte distribuční body nebo sekundární lokality se společně umístěnými distribučními body aplikace Správce konfigurace 2007, musí mít tento účet při upgradu na distribuční body služby Správce konfigurace (Current Branch) také oprávnění k odstranění pro třídu webu. Toto oprávnění slouží k úspěšnému odebrání distribučního bodu z lokality nástroje Správce konfigurace 2007 během upgradu.

Poznámka

Účet zdrojové lokality i účet databáze zdrojové lokality jsou identifikovány jako Migration Manager v uzlu Účty pracovního prostoru Správa v konzole Správce konfigurace.

Další informace naleznete v tématu Migrace dat mezi hierarchiemi.

Účet databáze zdrojového webu

Proces migrace používá účet databáze zdrojového webu pro přístup k databázi SQL Server zdrojového webu. Aby bylo možné shromáždit data z SQL Server databáze zdrojového webu, musí mít účet databáze zdrojového webu oprávnění ke čtení a spouštění SQL Server databáze zdrojového webu.

Pokud používáte účet počítače Správce konfigurace (Current Branch), ujistěte se, že pro tento účet platí všechny následující podmínky:

  • Je členem skupiny zabezpečení Distributed COM Users ve stejné doméně jako web nástroje Správce konfigurace 2012.
  • Je členem skupiny zabezpečení SMS .
  • Má oprávnění ke čtení pro všechny objekty aplikace Správce konfigurace 2012.

Poznámka

Účet zdrojové lokality i účet databáze zdrojové lokality jsou identifikovány jako Migration Manager v uzlu Účty pracovního prostoru Správa v konzole Správce konfigurace.

Další informace naleznete v tématu Migrace dat mezi hierarchiemi.

Účet pro připojení k doméně pořadí úkolů

Instalační program systému Windows používá účet pro připojení k doméně pořadí úkolů k připojení počítače k doméně. Tento účet vyžaduje krok pořadí úkolů Připojit se k doméně nebo Pracovní skupině s možností Připojit se k doméně . Tento účet se dá také nastavit pomocí kroku Použít nastavení sítě , ale není to povinné.

Tento účet vyžaduje připojení k doméně přímo v cílové doméně.

Tip

Vytvořte jeden uživatelský účet domény s minimálními oprávněními pro připojení k doméně a použijte jej pro všechna pořadí úkolů.

Důležité

Nepřiřazujte k tomuto účtu interaktivní přihlašovací oprávnění.

Nepoužívejte u tohoto účtu účet pro přístup k síti.

Pořadí úkolů síťový účet pro připojení ke složce

Modul pořadí úloh používá účet připojení síťové složky pořadí úkolů k připojení ke sdílené složce v síti. Tento účet vyžaduje krok pořadí úkolů Připojit k síťové složce .

Tento účet vyžaduje oprávnění pro přístup k určené sdílené složce. Musí se jednat o uživatelský účet domény.

Tip

Vytvořte jeden uživatelský účet domény s minimálními oprávněními pro přístup k požadovaným síťovým prostředkům a použijte ho pro všechna pořadí úkolů.

Důležité

Nepřiřazujte k tomuto účtu interaktivní přihlašovací oprávnění.

Nepoužívejte u tohoto účtu účet pro přístup k síti.

Pořadí úkolů spustit jako účet

Modul pořadí úloh používá pořadí úloh spustit jako účet ke spouštění příkazových řádků nebo skriptů PowerShellu s přihlašovacími údaji jinými než účtem místního systému. Tento účet vyžadují kroky pořadí úkolů Spustit příkazový řádek a Spustit skript PowerShellu s možností Spustit tento krok jako následující zvolený účet .

Nastavte účet tak, aby měl minimální oprávnění potřebná ke spuštění příkazového řádku, který zadáte v pořadí úkolů. Účet vyžaduje interaktivní přihlašovací práva. Obvykle vyžaduje instalaci softwaru a přístup k síťovým prostředkům. Pro úlohu Spustit skript PowerShellu vyžaduje tento účet oprávnění místního správce.

Důležité

Nepoužívejte u tohoto účtu účet pro přístup k síti.

Nikdy nenastavujte účet jako správce domény.

Pro tento účet nikdy nenastavujte roamingové profily. Po spuštění pořadí úkolů se stáhne cestovní profil účtu. Profil bude v místním počítači zranitelný.

Omezte rozsah účtu. Můžete například vytvořit různá pořadí úkolů, která se spouštějí jako účty pro každé pořadí úkolů. Pokud dojde ke zneužití jednoho účtu, dojde k ohrožení zabezpečení pouze klientských počítačů, ke kterým má tento účet přístup.

Pokud příkazový řádek vyžaduje přístup správce na počítači, zvažte vytvoření místního účtu správce výhradně pro tento účet na všech počítačích, na kterých je pořadí úkolů spuštěno. Jakmile účet už nebudete potřebovat, odstraňte ho.

Uživatelské objekty, které Správce konfigurace používá na SQL Server

Správce konfigurace automaticky vytvoří a udržuje následující uživatelské objekty v SQL. Tyto objekty jsou umístěny v databázi nástroje Správce konfigurace v části Zabezpečení/Uživatelé.

Důležité

Úprava nebo odebrání těchto objektů může způsobit drastické problémy v prostředí nástroje Správce konfigurace. Doporučujeme, abyste v těchto objektech neprováděli žádné změny.

smsdbuser_ReadOnly

Tento objekt se používá ke spouštění dotazů v kontextu jen pro čtení. Tento objekt se používá s několika uloženými procedurami.

smsdbuser_ReadWrite

Tento objekt se používá k poskytnutí oprávnění pro dynamické příkazy SQL.

smsdbuser_ReportSchema

Tento objekt se používá ke spouštění sestav SQL Server. S touto funkcí se používá následující uložená procedura: spSRExecQuery.

Databázové role, které Správce konfigurace používá v SQL

Správce konfigurace automaticky vytvoří a udržuje následující objekty rolí v SQL. Tyto role poskytují přístup ke konkrétním uloženým procedurám, tabulkám, zobrazením a funkcím. Tyto role buď získávají data, nebo přidávají data do databáze Správce konfigurace. Tyto objekty se nacházejí v databázi nástroje Správce konfigurace v části Zabezpečení, Role, Role databáze a Role databáze.

Důležité

Úprava nebo odebrání těchto objektů může způsobit drastické problémy v prostředí nástroje Správce konfigurace. Tyto objekty neměňte. Následující seznam má pouze informativní charakter.

smsdbrole_AITool

Správce konfigurace uděluje toto oprávnění uživatelským účtům správců na základě přístupu na základě role k importu informací o multilicencích pro Asset Intelligence. Tento účet může přidat role úplného správce, správce provozu nebo správce aktiv nebo jakákoli role s oprávněním Spravovat informace o aktivech.

smsdbrole_AIUS

Správce konfigurace udělí účtu počítače, který je hostitelem synchronizačního bodu Asset Intelligence, přístup k získání proxy dat Asset Intelligence a zobrazení čekajících dat AI k nahrání.

smsdbrole_CRP

Správce konfigurace uděluje oprávnění účtu počítače systému lokality, který podporuje bod registrace certifikátu pro podporu protokolu SCEP (Simple Certificate Enrollment Protocol) pro podepisování a obnovování certifikátů.

smsdbrole_CRPPfx

Správce konfigurace udělí oprávnění účtu počítače systému lokality, který podporuje bod registrace certifikátu nakonfigurovaný pro podporu PFX pro podepisování a obnovování.

smsdbrole_DMP

Správce konfigurace uděluje toto oprávnění účtu počítače pro bod správy, který má možnost Povolit mobilním zařízením a počítačům Mac používat tento bod správy, což je schopnost poskytovat podporu pro zařízení registrovaná v MDM.

smsdbrole_DmpConnector

Správce konfigurace uděluje toto oprávnění účtu počítače, který je hostitelem spojovacího bodu služby, aby mohl načítat a poskytovat diagnostická data, spravovat cloudové služby a načítat aktualizace služby.

smsdbrole_DViewAccess

Správce konfigurace udělí toto oprávnění účtu počítače serverů primární lokality v certifikačních autoritách, když je ve vlastnostech propojení replikace vybrána možnost distribuovaných zobrazení systému SQL Server.

smsdbrole_DWSS

Správce konfigurace uděluje toto oprávnění účtu počítače, který je hostitelem role datového skladu.

smsdbrole_EnrollSvr

Správce konfigurace udělí toto oprávnění účtu počítače, který je hostitelem registračního bodu, aby bylo možné zařízení zapsat přes MDM.

smsdbrole_extract

Poskytuje přístup ke všem rozšířeným zobrazením schématu.

smsdbrole_HMSUser

Pro službu správce hierarchie. Správce konfigurace uděluje tomuto účtu oprávnění ke správě zpráv o stavu převzetí služeb při selhání a transakcí zprostředkovatele služeb SQL Server mezi lokalitami v hierarchii.

Poznámka

Role smdbrole_WebPortal je ve výchozím nastavení členem této role.

smsdbrole_MCS

Správce konfigurace udělí toto oprávnění účtu počítače distribučního bodu, který podporuje vícesměrové vysílání.

smsdbrole_MP

Správce konfigurace udělí toto oprávnění účtu počítače, který je hostitelem role bodu správy, aby poskytoval podporu klientům Správce konfigurace.

smsdbrole_MPMBAM

Správce konfigurace udělí toto oprávnění účtu počítače, který je hostitelem bodu správy, který spravuje BitLocker pro dané prostředí.

smsdbrole_MPUserSvc

Správce konfigurace uděluje toto oprávnění účtu počítače, který je hostitelem bodu správy, aby podporoval uživatelské požadavky aplikací.

smsdbrole_siteprovider

Správce konfigurace udělí toto oprávnění účtu počítače, který je hostitelem role poskytovatele serveru SMS.

smsdbrole_siteserver

Správce konfigurace uděluje toto oprávnění účtu počítače, který je hostitelem primární lokality nebo certifikační autority.

smsdbrole_SUP

Správce konfigurace udělí toto oprávnění účtu počítače, který je hostitelem bodu aktualizace softwaru pro práci s aktualizacemi třetích stran.

smsschm_users

Správce konfigurace uděluje přístup k účtu používanému pro účet bodu služby Reporting Services, aby bylo možné přístup k zobrazením zasílání zpráv SMS pro zobrazení dat vytváření sestav nástroje Správce konfigurace. Data jsou dále omezena pomocí přístupu na základě role.

Zvýšená oprávnění

Správce konfigurace vyžaduje, aby některé účty měly zvýšená oprávnění pro probíhající operace. Podívejte se například na Požadavky na instalaci primární lokality. Následující seznam obsahuje souhrn těchto oprávnění a důvodů, proč jsou potřeba.

  • Počítačový účet serveru primární lokality a serveru lokality centrální správy vyžaduje:

    • Práva místního správce na všech serverech systému lokality. Toto oprávnění se vztahuje na správu, instalaci a odebírání systémových služeb. Server lokality také aktualizuje místní skupiny v systému lokality, když přidáte nebo odeberete role.

    • Přístup správce systému k instanci SQL Server pro databázi lokality. Toto oprávnění slouží ke konfiguraci a správě SQL Serveru pro daný web. Správce konfigurace je úzce integrován s SQL, není to jen databáze.

  • Uživatelské účty v roli Úplný správce vyžadují:

    • Práva místního správce na všech serverech webu. Toto oprávnění se vztahuje na zobrazení, úpravy, odebrání a instalaci systémových služeb, klíčů a hodnot registru a objektů WMI.

    • Přístup správce systému k instanci SQL Server pro databázi lokality. Toto oprávnění se vztahuje na instalaci a aktualizaci databáze během instalace nebo obnovení. Vyžaduje se také pro údržbu a provoz SQL Server. Například přeindexování a aktualizace statistik.

      Poznámka

      Některé organizace se můžou rozhodnout odebrat přístup správce systému a udělit ho pouze v případě potřeby. Toto chování se někdy označuje jako přístup za běhu (JIT). V takovém případě by uživatelé s rolí úplného správce měli mít stále přístup ke čtení, aktualizaci a spouštění uložených procedur v databázi Správce konfigurace. Tato oprávnění jim umožňují řešit většinu problémů bez úplného přístupu správce systému.

  • Poslední aktualizace v