管理內部部署服務帳戶
Active Directory 提供了四種類型的內部部署服務帳戶：
- 群組受管理的服務帳戶 (gMSA)
- 獨立受管理的服務帳戶 (sMSA)
- 內部部署電腦帳戶
- 作為服務帳戶運作的使用者帳戶
服務帳戶治理的一部分包括：
- 根據需求和用途加以保護
- 管理帳戶生命週期及其認證
- 根據風險和權限評定服務帳戶
- 確保 Active Directory (AD) 和 Microsoft Entra ID 沒有未使用且具有權限的服務帳戶
新服務帳戶原則
當您建立服務帳戶時，請考慮下表中的資訊。
| 準則 | 考量 |
|---|---|
| 服務帳戶對應 | 將服務帳戶連線至服務、應用程式或指令碼 |
| 擁有權 | 確定有能夠要求並承擔責任的帳戶擁有者 |
| 範圍 | 定義範圍，並預期使用持續時間 |
| 目的 | 建立單一用途的服務帳戶 |
| 權限 | 套用最低權限原則： - 不要將權限指派給內建群組，例如系統管理員 - 在可行的情況下移除本機電腦權限 - 量身訂做存取權，並使用 AD 委派進行目錄存取 - 使用細微存取權限 - 針對使用者型服務帳戶設定帳戶到期日和位置限制 |
| 監視與稽核使用方式 | - 監視登入資料，並確保其符合預期的使用方式 - 針對異常使用方式設定警示 |
使用者帳戶限制
針對作為服務帳戶的使用者帳戶，套用下列設定：
- 帳戶到期日 - 除非服務帳戶可以繼續，否則將該帳戶設定為在其檢閱期間後自動到期
- LogonWorkstations - 限制服務帳戶登入權限
- 如果其會在本機執行並存取電腦上的資源，請限制其在其他地方登入的能力
- 禁止變更密碼 - 將此參數設為 true，防止服務帳戶變更自身的密碼
生命週期管理流程
為了協助維護服務帳戶安全性，請從一開始便加以管理，直到解除委任為止。 使用下列流程：
- 收集帳戶使用資訊。
- 將服務帳戶和應用程式移至組態管理資料庫 (CMDB)。
- 執行風險評估或正式審核。
- 建立服務帳戶並套用限制。
- 排程和執行例行審查。
- 視需要調整權限及範圍。
- 將帳戶取消佈建。
收集服務帳戶使用資訊
收集每一個服務帳戶的相關資訊。 下表列出至少要收集的資訊。 取得驗證每個帳戶所需的項目。
| 資料 | 描述 |
|---|---|
| 擁有者 | 為服務帳戶負責的使用者或群組 |
| 目的 | 服務帳戶的用途 |
| 權限 (範圍) | 預期的權限 |
| CMDB 連結 | 擁有目標指令碼或應用程式及擁有者的交叉連結服務帳戶 |
| 風險 | 安全性風險評定的結果 |
| 存留期 | 排程帳戶到期日或重新認證的預期最長存留期 |
使帳戶要求變成自助式，並要求相關資訊。 擁有者可以是應用程式或企業負責人、IT 小組成員，或基礎結構擁有者。 您可以使用 Microsoft Forms 來取得要求和相關資訊。 如果已核准帳戶，請使用 Microsoft Forms 將其移植到組態管理資料庫 (CMDB) 清查工具。
服務帳戶和 CMDB
將所收集到的資訊儲存在 CMDB 應用程式中。 包括基礎結構、應用程式和處理序的相依性。 使用此中央存放庫來：
- 評定風險
- 設定具有限制的服務帳戶
- 確定功能和安全性相依性
- 對安全性和持續性需求進行定期審查
- 連絡擁有者以檢閱、淘汰及變更服務帳戶
範例 HR 案例
例如，有一個服務帳戶會執行具有連線至人力資源 SQL 資料庫之權限的網站。 下表列出該服務帳戶 CMDB 中的資訊 (包括範例)：
| 資料 | 範例 |
|---|---|
| 擁有者、Deputy | 名稱、名稱 |
| 目的 | 執行 HR 網頁並連線至 HR 資料庫。 在存取資料庫時模擬終端使用者。 |
| 權限、範圍 | HR-WEBServer：在本機登入；執行網頁 HR-SQL1：在本機登入；具備所有 HR 資料庫的讀取權限 HR-SQL2：在本機登入；僅具備薪資資料庫的讀取權限 |
| 成本中心 | 123456 |
| 已評定風險 | 中度；商務影響：中度；私人資訊：中度 |
| 帳戶限制 | 登入目標：僅限先前提及的伺服器；不可以變更密碼；MBI-Password 原則； |
| 存留期 | 不受限制 |
| 審查週期 | 每隔半年：依擁有者、安全性小組或隱私權小組 |
服務帳戶風險評量或正式審查
如果您的帳戶遭到未經授權的來源入侵，請評定相關聯應用程式、服務和基礎結構的風險。 請同時考量直接和間接的風險：
- 未經授權的使用者可取得存取權的資源
- 服務帳戶可以存取的其他資訊或系統
- 帳戶可以授與的權限
- 權限變更時的指示或訊號
風險評定之後，文件可能會顯示風險會影響帳戶：
- 限制
- 存留期
- 檢閱需求
- 頻率和檢閱者
建立服務帳戶並套用帳戶限制
注意
在風險評定之後建立服務帳戶，並在 CMDB 中記錄結果。 使帳戶限制與風險評定結果保持一致。
請考慮下列限制，但有些限制可能與您的評定無關。
- 針對作為服務帳戶的使用者帳戶，請定義實際的結束日期
- 使用帳戶到期旗標來設定日期
- 深入了解：Set-ADAccountExpiration (英文)
- 請參閱 Set-ADUser (Active Directory) (英文)
- 密碼原則需求
- 請參閱 Microsoft Entra Domain Services 受控網域上的密碼和帳戶鎖定原則 (部分機器翻譯)
- 在能確保只有某些使用者能加以管理的組織單位位置中建立帳戶
- 設定及收集偵測服務帳戶變更的稽核：
- 請參閱稽核目錄服務變更 (英文)，以及
- 移至 manageengine.com 以參閱如何在 AD 中稽核 Kerberos 驗證事件 (英文)
- 在帳戶進入實際執行環境之前，以更安全的方式授與帳戶存取權
服務帳戶審查
排程定期服務帳戶審查，特別是針對被分類為中度風險和高風險的帳戶。 審查可能包括：
- 擁有者對帳戶之需求的證明，並說明權限和範圍的正當性
- 包括上游和下游相依性的隱私權和安全性小組審查
- 稽核資料審查
- 確定帳戶是用於其所陳述的目的
取消佈建服務帳戶
在下列階段將服務帳戶取消佈建：
- 在建立服務帳戶的指令碼或應用程式淘汰的時候
- 在使用服務帳戶的指令碼或應用程式函式淘汰的時候
- 在服務帳戶已由另一個服務帳戶取代的時候
取消佈建：
- 移除權限和監視。
- 檢查相關服務帳戶的登入和資源存取權，以確保不會對其產生任何潛在影響。
- 防止帳戶登入。
- 確定已不再需要該帳戶 (沒有任何投訴)。
- 建立商務原則以判斷停用帳戶的時間長度。
- 刪除服務帳戶。
- MSA - 請參閱 Uninstall-ADServiceAccount (英文)
- 使用 PowerShell，或從受管理的服務帳戶容器中手動加以刪除
- 電腦或使用者帳戶 - 從 Active Directory 手動刪除該帳戶
下一步
若要深入了解如何保護服務帳戶，請參閱下列文章：
- 保護內部部署服務帳戶 (部分機器翻譯)
- 保護群組受管理的服務帳戶
- 保護獨立受管理的服務帳戶
- 使用 AD 保護內部部署電腦帳戶 (部分機器翻譯)
- 保護 AD 中的使用者型服務帳戶