Bagikan melalui

Akun layanan terkelola mandiri yang aman

  • Artikel

Akun layanan terkelola mandiri (sMSA) adalah akun domain terkelola yang membantu mengamankan layanan yang berjalan di server. Akun tersebut tidak dapat digunakan kembali di beberapa server. sMSA memiliki manajemen kata sandi otomatis, manajemen nama prinsipal layanan (SPN) yang disederhanakan, dan manajemen yang didelegasikan kepada administrator.

Di Active Directory (AD), sMSA terikat dengan server yang menjalankan layanan. Anda dapat menemukan akun di Snap-in Pengguna direktori aktif dan Komputer di Konsol Manajemen Microsoft.

Catatan

Akun layanan terkelola diperkenalkan di Skema Direktori Aktif Windows Server 2008 R2, dan memerlukan Windows Server 2008 R2, atau versi yang lebih baru.

manfaat sMSA

sMSA memiliki keamanan yang lebih besar daripada akun pengguna yang digunakan sebagai akun layanan. Mereka membantu mengurangi overhead administratif:

  • Mengatur kata sandi yang kuat - sMSA menggunakan 240 byte, kata sandi kompleks yang dihasilkan secara acak
    • Kompleksitas meminimalkan kemungkinan kompromi oleh serangan brute force atau kamus
  • Kata sandi siklus secara teratur - Windows mengubah kata sandi sMSA setiap 30 hari.
    • Administrator layanan dan domain tidak perlu menjadwalkan perubahan kata sandi atau mengelola waktu henti terkait
  • Sederhanakan manajemen SPN - SPN diperbarui jika tingkat fungsi domain adalah Windows Server 2008 R2. SPN diperbarui saat Anda:
    • Mengganti nama akun komputer host
    • Mengubah nama server nama domain komputer host (DNS)
    • Menggunakan PowerShell untuk menambahkan atau menghapus parameter sam-accountname atau dns-hostname lainnya
    • Lihat, Set-ADServiceAccount

Menggunakan sMSA

Gunakan sMSA untuk menyederhanakan tugas manajemen dan keamanan. sMSA berguna saat layanan disebarkan ke server dan Anda tidak dapat menggunakan akun layanan terkelola grup (gMSA).

Catatan

Anda dapat menggunakan sMSA untuk lebih dari satu layanan, tetapi disarankan agar setiap layanan memiliki identitas untuk audit.

Jika pembuat perangkat lunak tidak dapat memberi tahu Anda apakah aplikasi menggunakan MSA, uji aplikasi. Buat lingkungan pengujian dan pastikan lingkungan tersebut mengakses sumber daya yang diperlukan.

Pelajari lebih lanjut: Akun Layanan Terkelola: Memahami, Menerapkan, Praktik Terbaik, dan Pemecahan Masalah

Menilai postur keamanan sMSA

Pertimbangkan cakupan akses sMSA sebagai bagian dari postur keamanan. Untuk mengurangi potensi masalah keamanan, lihat tabel berikut ini:

Masalah keamanan Mitigasi
sMSA adalah anggota grup istimewa - Hapus sMSA dari grup istimewa yang ditinggikan, seperti Admin
Domain - Gunakan model
yang paling tidak istimewa - Berikan hak dan izin sMSA untuk menjalankan layanannya
- Jika Anda tidak yakin tentang izin, konsultasikan dengan pembuat layanan
sMSA memiliki akses baca/tulis ke sumber daya sensitif - Akses audit ke sumber daya
sensitif - Mengarsipkan log audit ke program informasi keamanan dan manajemen peristiwa (SIEM), seperti Azure Log Analytics atau Microsoft Sentinel
- Memulihkan izin sumber daya jika akses yang tidak diinginkan terdeteksi
Secara default, frekuensi rollover kata sandi sMSA adalah 30 hari Gunakan kebijakan grup untuk menyetel durasi, tergantung pada persyaratan keamanan perusahaan. Untuk mengatur durasi kedaluwarsa kata sandi, buka:
Kebijakan>Konfigurasi>Komputer Opsi Keamanan Pengaturan>Keamanan Pengaturan>Keamanan Windows. Untuk anggota domain, gunakan Usia kata sandi akun komputer maksimum.

tantangan sMSA

Gunakan tabel berikut untuk mengaitkan tantangan dengan mitigasi.

Latihan Mitigasi
sMSA berada di satu server Menggunakan gMSA untuk menggunakan akun di seluruh server
sMSA tidak dapat digunakan di seluruh domain Menggunakan gMSA untuk menggunakan akun di seluruh domain
Tidak semua aplikasi mendukung sMSA Gunakan gMSA, jika memungkinkan. Jika tidak, gunakan akun pengguna standar atau akun komputer, seperti yang direkomendasikan oleh pembuat

Menemukan sMSA

Pada pengendali domain, jalankan DSA.msc, lalu perluas kontainer akun layanan terkelola untuk melihat semua sMSA.

Untuk mengembalikan semua sMSA dan gMSA di domain Active Directory, jalankan perintah PowerShell berikut:

Get-ADServiceAccount -Filter *

Untuk mengembalikan sMSA di domain Direktori Aktif, jalankan perintah berikut:

Get-ADServiceAccount -Filter * | where { $_.objectClass -eq "msDS-ManagedServiceAccount" }

Mengelola sMSA

Untuk mengelola sMSA, Anda bisa menggunakan cmdlet Ad PowerShell berikut:

Get-ADServiceAccount Install-ADServiceAccount New-ADServiceAccount Remove-ADServiceAccount Set-ADServiceAccount Test-ADServiceAccount Uninstall-ADServiceAccount

Pindah ke sMSA

Jika layanan aplikasi mendukung sMSA, tetapi bukan gMSA, dan Anda menggunakan akun pengguna atau akun komputer untuk konteks keamanan, lihat
Akun Layanan Terkelola: Memahami, Menerapkan, Praktik Terbaik, dan Pemecahan Masalah.

Jika memungkinkan, pindahkan sumber daya ke Azure dan gunakan identitas terkelola Azure, atau perwakilan layanan.

Langkah berikutnya

Untuk mempelajari selengkapnya tentang mengamankan akun layanan, lihat: