Problemas de segurança para publicação de serviço

O sistema restringe a capacidade de criar, modificar ou excluir objetos de ponto de conexão. Esteja ciente e lide com essas restrições ao publicar um serviço.

Os clientes devem ser capazes de confiar nos dados publicados em um objeto de ponto de conexão no diretório. Por esse motivo, a permissão para criar um objeto de ponto de conexão normalmente é restrita a usuários privilegiados, como administradores de domínio. Isso evita que usuários não autorizados enganem os clientes criando pontos de conexão inválidos para serviços conhecidos.

Os serviços não devem ser executados com privilégios de administrador de domínio. Isso significa que um serviço normalmente não pode criar seu próprio ponto de conexão. Em vez disso, você fornece um aplicativo de instalação ou configuração de serviço que cria o ponto de conexão. Este instalador deve ser executado por um usuário com os privilégios necessários.

Embora um serviço normalmente não possa criar seu ponto de conexão, ele deve ser capaz de atualizar as propriedades do ponto de conexão em tempo de execução. As propriedades do ponto de conexão contêm os dados de associação usados pelos clientes para se conectar ao serviço. Se os dados de vinculação forem alterados, o serviço deverá atualizar o ponto de conexão; caso contrário, os clientes não poderão usar o serviço. Isso significa que o instalador também deve modificar o descritor de segurança no objeto de ponto de conexão para permitir que o serviço leia e grave as propriedades apropriadas em tempo de execução. Para obter mais informações e um exemplo de código, consulte Habilitando a conta de serviço para acessar propriedades SCP.

Um serviço em execução na conta LocalSystem pode criar um ponto de conexão como um objeto filho em seu próprio objeto de computador no diretório. Tal serviço é uma exceção à regra de os serviços não criarem seus próprios pontos de conexão. Um serviço LocalSystem também tem permissão para modificar as propriedades de objetos de ponto de conexão em seu próprio objeto de computador. Esteja ciente de que um serviço deve ser executado na conta LocalSystem somente se for absolutamente necessário. Para obter mais informações, consulte Diretrizes para selecionar uma conta de logon de serviço.

O aplicativo que cria um objeto de ponto de conexão, ou qualquer objeto, deve ter permissões de criação filho para a classe de objeto a ser criada no contêiner onde o objeto será criado. Para remover um objeto, o processo que executa a operação deve ter permissões filho de exclusão para que a classe de objeto seja excluída no contêiner que contém o objeto ou ter permissões de exclusão no próprio objeto. Para atualizar um ponto de conexão, o processo que executa a operação deve ter acesso de gravação às propriedades a serem atualizadas no objeto.