Problèmes de sécurité liés à la publication du service

Le système limite la possibilité de créer, de modifier ou de supprimer des objets de point de connexion. Tenez compte de ces restrictions et gérez-les lorsque vous publiez un service.

Les clients doivent être en mesure d’approuver les données publiées dans un objet de point de connexion dans le répertoire. Pour cette raison, l’autorisation de créer un objet de point de connexion est généralement limitée aux utilisateurs privilégiés, tels que les administrateurs de domaine. Cela empêche les utilisateurs non autorisés de tromper les clients en créant des points de connexion non valides pour des services connus.

Les services ne doivent pas s’exécuter avec des privilèges d’administrateur de domaine. Cela signifie qu’un service ne peut généralement pas créer son propre point de connexion. Au lieu de cela, vous fournissez une application d’installation ou de configuration de service qui crée le point de connexion. Ce programme d’installation doit être exécuté par un utilisateur disposant des privilèges nécessaires.

Bien qu’un service ne puisse généralement pas créer son point de connexion, il doit être en mesure de mettre à jour les propriétés du point de connexion au moment de l’exécution. Les propriétés du point de connexion contiennent les données de liaison utilisées par les clients pour se connecter au service. Si les données de liaison changent, le service doit mettre à jour le point de connexion ; sinon, les clients ne peuvent pas utiliser le service. Cela signifie que le programme d’installation doit également modifier le descripteur de sécurité sur l’objet de point de connexion pour permettre au service de lire et d’écrire les propriétés appropriées au moment de l’exécution. Pour plus d’informations et un exemple de code, consultez Activation du compte de service pour accéder aux propriétés SCP.

Un service exécuté sous le compte LocalSystem peut créer un point de connexion en tant qu’objet enfant sous son propre objet ordinateur dans le répertoire. Un tel service est une exception à la règle des services qui ne créent pas leurs propres points de connexion. Un service LocalSystem est également autorisé à modifier les propriétés des objets de point de connexion sous son propre objet ordinateur. N’oubliez pas qu’un service ne doit s’exécuter sous le compte LocalSystem que si cela est absolument nécessaire. Pour plus d’informations, consultez Recommandations pour la sélection d’un compte d’ouverture de session de service.

L’application qui crée un objet de point de connexion, ou tout objet, doit disposer des autorisations de création d’enfants pour la classe d’objet à créer dans le conteneur où l’objet sera créé. Pour supprimer un objet, le processus effectuant l’opération doit disposer d’autorisations supprimer enfant pour que la classe d’objet soit supprimée sur le conteneur contenant l’objet, ou disposer d’autorisations de suppression sur l’objet lui-même. Pour mettre à jour un point de connexion, le processus effectuant l’opération doit disposer d’un accès en écriture aux propriétés à mettre à jour sur l’objet .