Проблемы безопасности для публикации служб

Система ограничивает возможность создавать, изменять или удалять объекты точек подключения. Учитывайте и обрабатывайте эти ограничения при публикации службы.

Клиенты должны иметь возможность доверять данным, опубликованным в объекте точки подключения в каталоге. По этой причине разрешение на создание объекта точки подключения обычно ограничено привилегированными пользователями, такими как администраторы домена. Это позволяет неавторизованным пользователям обмануть клиентов путем создания недопустимых точек подключения для известных служб.

Службы не должны выполняться с правами администратора домена. Это означает, что служба обычно не может создать собственную точку подключения. Вместо этого вы предоставляете приложение установки или конфигурации службы, которое создает точку подключения. Этот установщик должен запускаться пользователем с необходимыми привилегиями.

Хотя служба обычно не может создать свою точку подключения, она должна иметь возможность обновлять свойства точки подключения во время выполнения. Свойства точки подключения содержат данные привязки, используемые клиентами для подключения к службе. Если данные привязки изменяются, служба должна обновить точку подключения; в противном случае клиенты не могут использовать службу. Это означает, что установщик также должен изменить дескриптор безопасности в объекте точки подключения, чтобы служба считывала и записыла соответствующие свойства во время выполнения. Дополнительные сведения и пример кода см. в разделе "Включение учетной записи службы для доступа к свойствам SCP".

Служба, запущенная под учетной записью LocalSystem, может создать точку подключения в качестве дочернего объекта под собственным объектом компьютера в каталоге. Такая служба является исключением из правила служб, не создающих собственные точки подключения. Служба LocalSystem также имеет разрешение на изменение свойств объектов точки подключения в собственном объекте компьютера. Помните, что служба должна выполняться под учетной записью LocalSystem, только если это необходимо. Дополнительные сведения см. в руководстве по выбору учетной записи входа в службу.

Приложение, создающее объект точки подключения или любой объект, должно иметь дочерние разрешения для создаваемого класса объекта в контейнере, где будет создан объект. Чтобы удалить объект, процесс, выполняющий операцию, должен иметь разрешения на удаление дочернего класса для удаления класса объекта в контейнере, удерживающего объект, или иметь разрешения на удаление самого объекта. Чтобы обновить точку подключения, процесс выполнения операции должен иметь доступ на запись к свойствам, которые необходимо обновить в объекте.