![如何强化 Windows 2003 服务帐户](https://linux22.com/image/547643/%E5%A6%82%E4%BD%95%E5%BC%BA%E5%8C%96%20Windows%202003%20%E6%9C%8D%E5%8A%A1%E5%B8%90%E6%88%B7.png)
我记得几年前有一篇关于如何强化 Windows 2003 服务帐户的 tech-net 或 WindowsITpro 文章。
为了备份软件的目的(例如 BackupExec / AppAsure / 等等,请不要批评这些),我必须创建一个域管理员帐户(通常称为“备份”之类的名称)并从该帐户运行服务。
在本文中,我记得您可以创建域管理员用户“Backup”,但是它无法以交互方式登录。
你们中有人记得这样的文章吗?或者知道如何去做吗?
答案1
我建议创建一个名为“DenyLogonLocally”之类的组。然后确保使用 GPO 拒绝该组本地登录。
计算机配置->策略->Windows 设置->安全设置->本地策略->用户权限->拒绝本地登录
将备份用户和其他服务帐户添加到此组。您可能需要考虑使用相同的技术,用户权限为“拒绝通过远程桌面服务登录”和“拒绝从网络访问此计算机”。
约翰的建议也很好。
答案2
有一个用户权限设置限制了交互式登录。查找本地安全策略和用户权限分配。在走得太远之前先测试一下。
您也可以使用非常长的密码/密码短语,因为您不需要经常输入它。这是强化帐户的好方法。
答案3
我确实记得看到过这样的文章,但它们实际上用太多的文字说的是:
- 限制帐户的访问权限。特别是,如果有任何方法可以避免,请不要让他们成为域管理员。
- 确保帐户凭据尽可能安全。例如,尽量不要使用明显的帐户名称,并确保密码长而强。
- 除非确实需要,否则不允许任何人访问该帐户,因此请相应地设置帐户本身的权限。
- 确保相关详细信息得到安全记录和保护。毕竟,如果您能记住它们,则说明您要么记忆力超群,要么没有选择足够安全的密码。
- 与任何其他重要帐户一样,确保定期更改密码。
不幸的是,某些备份系统(如 BackupExec)要求帐户为域管理员,尽管它真正需要的只是备份。这只是糟糕的设计,但我们用户当然无法控制它。