最小权限来运行一个Windows服务作为域帐户

Question

有谁知道什么是我需要授予域用户帐户来运行Windows服务为用户起码的权利？

为简单起见，假设服务在不执行任何操作及以上启动，停止，并写入到“应用程序”事件日志 - 即没有网络接入，没有自定义事件日志等

我知道我可以使用内置的Service和NetworkService帐户，但可能由于网络策略的原因，我可能无法使用这些帐户。

Answer 1

两种方式：服务的

1. 编辑的属性和设置的登录用户。适当的权利将被自动分配。

2. 将其设置手动：进入管理工具 - >本地安全策略 - >本地策略 - >用户权利指派。编辑项目“作为服务登录”并在那里添加您的域用户。

Answer 2

我知道该帐户需要具有“以服务登录”权限。除此之外，我不确定。登录即服务的快速参考可以找到here，并且有许多特定权限的信息here。

Answer 3

感谢您的链接，克里斯。我经常想知道像“BypassTraverseChecking”这样的特权的具体效果，但从来没有打扰过查看它们。

我有有趣的问题得到一个服务运行，发现它并没有进入它的文件的初始安装已经由管理员完成之后。我认为除了登录为服务之外，还需要一些东西，直到找到文件问题。

1）禁用简单文件共享。 2）暂时让我的服务帐户成为管理员。 3）使用服务帐户来获取文件的所有权。 4）从管理员组中删除服务帐户。 5）重新启动。

在取得所有权，有必要从父目录，以禁用权限继承和递归地应用权限下的树。但是，无法找到“”给予所有权“选项以避免将服务帐户暂时设为管理员。

反正以为我会张贴此万一别人下去的时候我一直在寻找安全政策问题上有着相同的道路，当它真的只是文件系统权限。

Answer 4

“BypassTraverseChecking”意味着即使您没有对中间目录的所有中介访问权限（即其上的所有目录朝向根级别）的直接访问权限，也可以直接访问任何深层子目录。