Compartilhar via


Conta localsystem

A conta LocalSystem é uma conta local predefinida usada pelo gerenciador de controle de serviço. Essa conta não é reconhecida pelo subsistema de segurança, portanto, você não pode especificar seu nome em uma chamada para a função LookupAccountName . Ele tem privilégios extensos no computador local e atua como o computador na rede. Seu token inclui os SIDs NT AUTHORITY\SYSTEM e BUILTIN\Administrators; essas contas têm acesso à maioria dos objetos do sistema. O nome da conta em todas as localidades é .\LocalSystem. O nome, LocalSystem ou ComputerName\LocalSystem também pode ser usado. Essa conta não tem uma senha. Se você especificar a conta LocalSystem em uma chamada para a função CreateService ou ChangeServiceConfig , todas as informações de senha fornecidas serão ignoradas.

Um serviço executado no contexto da conta LocalSystem herda o contexto de segurança do SCM. O SID do usuário é criado com base no valor SECURITY_LOCAL_SYSTEM_RID . A conta não está associada a nenhuma conta de usuário conectada. Isso tem várias implicações:

  • A chave do Registro HKEY_CURRENT_USER está associada ao usuário padrão, não ao usuário atual. Para acessar o perfil de outro usuário, represente o usuário e acesse HKEY_CURRENT_USER.
  • O serviço pode abrir a chave do Registro HKEY_LOCAL_MACHINE\SECURITY.
  • O serviço apresenta as credenciais do computador para servidores remotos.
  • Se o serviço abrir uma janela de comando e executar um arquivo em lote, o usuário poderá acessar CTRL+C para encerrar o arquivo em lote e obter acesso a uma janela de comando com permissões LocalSystem.

A conta LocalSystem tem os seguintes privilégios:

  • SE_ASSIGNPRIMARYTOKEN_NAME (desabilitado)
  • SE_AUDIT_NAME (habilitado)
  • SE_BACKUP_NAME (desabilitado)
  • SE_CHANGE_NOTIFY_NAME (habilitado)
  • SE_CREATE_GLOBAL_NAME (habilitado)
  • SE_CREATE_PAGEFILE_NAME (habilitado)
  • SE_CREATE_PERMANENT_NAME (habilitado)
  • SE_CREATE_TOKEN_NAME (desabilitado)
  • SE_DEBUG_NAME (habilitado)
  • SE_IMPERSONATE_NAME (habilitado)
  • SE_INC_BASE_PRIORITY_NAME (habilitado)
  • SE_INCREASE_QUOTA_NAME (desabilitado)
  • SE_LOAD_DRIVER_NAME (desabilitado)
  • SE_LOCK_MEMORY_NAME (habilitado)
  • SE_MANAGE_VOLUME_NAME (desabilitado)
  • SE_PROF_SINGLE_PROCESS_NAME (habilitado)
  • SE_RESTORE_NAME (desabilitado)
  • SE_SECURITY_NAME (desabilitado)
  • SE_SHUTDOWN_NAME (desabilitado)
  • SE_SYSTEM_ENVIRONMENT_NAME (desabilitado)
  • SE_SYSTEMTIME_NAME (desabilitado)
  • SE_TAKE_OWNERSHIP_NAME (desabilitado)
  • SE_TCB_NAME (habilitado)
  • SE_UNDOCK_NAME (desabilitado)

A maioria dos serviços não precisa de um nível de privilégio tão alto. Se o serviço não precisar desses privilégios e não for um serviço interativo, considere usar a conta LocalService ou a conta NetworkService. Para obter mais informações, consulte Segurança do serviço e Direitos de Acesso.