Protezione degli account del servizio locale

Articolo
10/24/2023

Un servizio ha un'identità di sicurezza primaria che determina i diritti di accesso per le risorse locali e di rete. Il contesto di sicurezza per un servizio Microsoft Win32 è determinato dall'account del servizio usato per avviare il servizio. Si usa un account del servizio per:

Identificare e autenticare un servizio.
Avviare correttamente un servizio.
Accedere o eseguire codice o un'applicazione.
Avviare un processo.

Tipi di account del servizio locale

A seconda del caso d'uso, è possibile usare un account del servizio gestito (MSA), un account computer o un account utente per eseguire un servizio. È prima necessario testare un servizio per verificare che possa usare un account del servizio gestito. Se il servizio può usare un account del servizio gestito, è consigliabile usarne uno.

Account del servizio gestito del gruppo

Per i servizi eseguiti nell'ambiente locale, usare gli account del servizio gestito del gruppo (gMSA) quando possibile. Gli account del servizio gestito del gruppo offrono una singola soluzione di gestione delle identità per i servizi eseguiti in una server farm o dietro un servizio di bilanciamento del carico di rete. Gli account del servizio gestito del gruppo possono essere usati anche per i servizi eseguiti in un singolo server. Per informazioni sui requisiti per gli account del servizio gestito del gruppo, vedere Introduzione agli account del servizio gestito del gruppo.

Account del servizio gestiti autonomi

Se non è possibile usare un account del servizio gestito del gruppo, usare un account del servizio gestito autonomo (sMSA). gli sMSA richiedono almeno Windows Server 2008 R2. A differenza degli account del servizio gestito del gruppo, gli account del servizio gestito vengono eseguiti in un solo server. Possono essere usati per più servizi in tale server.

Account computer

Se non è possibile usare un account del servizio gestito, è consigliabile usare un account computer. L'account LocalSystem è un account locale predefinito che dispone di autorizzazioni estese nel computer locale e funge da identità del computer nella rete.

I servizi eseguiti come account LocalSystem accedono alle risorse di rete usando le credenziali dell'account computer nel formato <domain_name>\<computer_name>. Il nome predefinito è NT AUTHORITY\SYSTEM. È possibile usarlo per avviare un servizio e fornire un contesto di sicurezza per tale servizio.

Nota

Quando si usa un account computer, non è possibile determinare quale servizio nel computer usa tale account. Di conseguenza, non è possibile controllare quale servizio sta apportando modifiche.

Account utente

Se non è possibile usare un account del servizio gestito, è consigliabile usare un account utente. Un account utente può essere un account utente di dominio o un account utente locale .

Un account utente di dominio consente al servizio di sfruttare appieno le funzionalità di sicurezza dei servizi di Windows e Microsoft Dominio di Active Directory Services. Il servizio avrà autorizzazioni locali e di rete concesse all'account. Avrà anche le autorizzazioni di tutti i gruppi di cui l'account è membro. Gli account del servizio di dominio supportano l'autenticazione reciproca Kerberos.

Un account utente locale (formato nome: .\UserName) esiste solo nel database di Gestione account di sicurezza del computer host. Non dispone di un oggetto utente in Dominio di Active Directory Services. Un account locale non può essere autenticato dal dominio. Pertanto, un servizio eseguito nel contesto di sicurezza di un account utente locale non ha accesso alle risorse di rete (ad eccezione di un utente anonimo). I servizi eseguiti nel contesto utente locale non possono supportare l'autenticazione reciproca Kerberos in cui il servizio viene autenticato dai client. Per questi motivi, gli account utente locali sono in genere inappropriati per i servizi abilitati alla directory.

Importante

Gli account di servizio non devono essere membri di alcun gruppo con privilegi, perché l'appartenenza al gruppo con privilegi conferisce autorizzazioni che potrebbero essere un rischio per la sicurezza. Ogni servizio deve avere un proprio account di servizio per scopi di controllo e sicurezza.

Scegliere il tipo corretto di account del servizio

Criterio	gMSA	sMSA	Account del computer	Account utente
L'app viene eseguita in un singolo server	Sì	Sì. Se possibile, usare un account del servizio gestito del gruppo.	Sì. Se possibile, usare un account del servizio gestito.	Sì. Se possibile, usare un account del servizio gestito.
L'app viene eseguita su più server	Sì	No	Nr. L'account è associato al server.	Sì. Se possibile, usare un account del servizio gestito.
L'app viene eseguita dietro un servizio di bilanciamento del carico	Sì	Numero	No	Sì. Usare solo se non è possibile usare un account del servizio gestito del gruppo.
App eseguita in Windows Server 2008 R2	No	Sì	Sì. Se possibile, usare un account del servizio gestito.	Sì. Se possibile, usare un account del servizio gestito.
App eseguita in Windows Server 2012	Sì	Sì. Se possibile, usare un account del servizio gestito del gruppo.	Sì. Se possibile, usare un account del servizio gestito.	Sì. Se possibile, usare un account del servizio gestito.
Requisito di limitare l'account del servizio a un singolo server	No	Sì	Sì. Se possibile, usare un account del servizio gestito del servizio gestito.	No

Usare i log del server e PowerShell per analizzare

È possibile usare i log del server per determinare i server e il numero di server in cui è in esecuzione un'applicazione.

Per ottenere un elenco della versione di Windows Server per tutti i server della rete, è possibile eseguire il comando di PowerShell seguente:


Get-ADComputer -Filter 'operatingsystem -like "*server*" -and enabled -eq "true"' `

-Properties Name,Operatingsystem,OperatingSystemVersion,IPv4Address |

sort-Object -Property Operatingsystem |

Select-Object -Property Name,Operatingsystem,OperatingSystemVersion,IPv4Address |

Out-GridView

Trovare gli account del servizio locale

È consigliabile aggiungere un prefisso, ad esempio "svc-" a tutti gli account usati come account di servizio. Questa convenzione di denominazione semplifica la ricerca e la gestione degli account. Prendere in considerazione anche l'uso di un attributo description per l'account del servizio e il proprietario dell'account del servizio. La descrizione può essere un alias del team o un proprietario del team di sicurezza.

Trovare gli account del servizio locale è fondamentale per garantire la sicurezza. Questa operazione può essere difficile per gli account non del servizio gestito. È consigliabile esaminare tutti gli account che hanno accesso alle risorse locali importanti e determinare quali account computer o utente potrebbero fungere da account del servizio.

Per informazioni su come trovare un account del servizio, vedere l'articolo sul tipo di account nella sezione "Passaggi successivi".

Documentare gli account del servizio

Dopo aver trovato gli account del servizio nell'ambiente locale, documentare le informazioni seguenti:

Proprietario: persona responsabile della gestione dell'account.
Scopo: l'applicazione rappresentata dall'account o altro scopo.
Ambiti di autorizzazione: le autorizzazioni di cui dispone o devono avere e tutti i gruppi di cui è membro.
Profilo di rischio: rischio per l'azienda se questo account è compromesso. Se il rischio è elevato, usare un account del servizio gestito.
Durata prevista e attestazione periodica: per quanto tempo si prevede che l'account sarà attivo e la frequenza con cui il proprietario deve esaminare e attestare la sua necessità continuativa.
Sicurezza delle password: per gli account utente e computer locale, in cui è archiviata la password. Assicurarsi che le password siano protette e documentare chi ha accesso. Prendere in considerazione l'uso di Privileged Identity Management per proteggere le password archiviate.

Passaggi successivi

Per altre informazioni sulla protezione degli account del servizio, vedere gli articoli seguenti:

Condividi tramite