Como usar uma conta de usuário de domínio como uma conta de logon de serviço

Observação

A documentação a seguir é para desenvolvedores. Se você for um usuário final procurando informações sobre uma mensagem de erro envolvendo contas de usuário de domínio, consulte os fóruns da comunidade da Microsoft. Para obter informações sobre como gerenciar contas de usuário de domínio, consulte TechNet.

Uma conta de usuário de domínio permite que o serviço Aproveite ao máximo os recursos de segurança do serviço do Windows e do Microsoft Active Directory Domain Services. O serviço tem qualquer acesso local e de rede concedido à conta ou a qualquer grupo do qual a conta seja membro. O serviço pode oferecer suporte à autenticação mútua Kerberos.

A vantagem de usar uma conta de usuário de domínio é que as ações do serviço são limitadas pelos direitos de acesso e privilégios associados à conta. Ao contrário de um serviço, bugs em um LocalSystem serviço de conta de usuário não podem danificar o sistema. Se o serviço for comprometido por um ataque de segurança, o dano será isolado nas operações que o sistema permite que a conta de usuário execute. Ao mesmo tempo, os clientes em execução em diferentes níveis de privilégio podem se conectar ao serviço, o que permite que o serviço represente um cliente para executar operações confidenciais.

A conta de usuário de um serviço não deve ser membro de nenhum grupo de administradores que seja local, de domínio ou corporativo. Se o serviço precisar de privilégios administrativos locais, execute-o LocalSystem na conta. Para operações que exigem privilégios administrativos de domínio, execute-as representando o contexto de segurança de um aplicativo cliente.

Uma instância de serviço que usa uma conta de usuário de domínio requer uma ação administrativa periódica para manter a senha da conta. O gerenciador de controle de serviço (SCM) no computador host de uma instância de serviço armazena em cache a senha da conta para uso no log do serviço. Ao alterar a senha da conta, você também deve atualizar a senha armazenada em cache no computador host em que o serviço está instalado. Para obter mais informações e um exemplo de código, consulte Alterando a senha na conta de usuário de um serviço. Você poderia evitar a manutenção regular deixando a senha inalterada, mas isso aumentaria a probabilidade de um ataque de senha na conta de serviço. Esteja ciente de que, embora o SCM armazene a senha em uma parte segura do registro, ela está sujeita a ataques.

Uma conta de usuário de domínio tem dois formatos de nome: o nome distinto do objeto de usuário no diretório e o formato "domínio>\<nome> de usuário"< usado pelo gerenciador de controle de serviço local. Para obter mais informações e um exemplo de código que converte de um formato para outro, consulte Convertendo formatos de nome de conta de domínio.