允许本地系统访问网络文件夹

Question

背景

我们在服务器上运行了一个以 LocalSystem 帐户运行的 Windows 服务。我们有一个单独的服务器，用于保存可能包含 PHI 的应用程序附件。目前，我们的 Windows 服务无法访问此附件文件夹。我们无法控制服务器或此服务器上安装的应用程序。

我们想要做什么

我们希望从我们的 Windows 服务访问此附件文件夹。

我们提出的解决方案

我们正在考虑建议我们的客户授予 LocalSystem 帐户访问此附件文件夹的权限。据我了解，这将允许所有服务访问此文件夹以及该服务器上模拟 LocalSystem 帐户的所有内容。

我的担忧

由于我们无法控制此服务器，因此其他应用程序将在此服务器上运行，可能使用 LocalSystem 帐户。其他应用程序可能使用 LocalSystem 帐户配置面向公众的 IIS 网站（但愿不会）。关键是，我担心推荐某些东西可能会导致这些 PHI 文档以非预期的方式被访问。我更倾向于构建一个专用的网络帐户，但我想了解我对授予 LocalSystem 帐户访问权限的担忧是否合理。

我的问题

这算是不好的做法吗？这会给我们带来更多安全风险吗？

Answer 1

这里有两个选项，您可以创建一个服务帐户来访问附件文件夹（请记住将服务设置为使用此服务帐户运行），或者您可以使用服务器（服务在 LocalSystem 帐户下运行）来访问附件文件夹。请记住，您需要授予计算机帐户（运行 LocalSystem 的服务器）对附件文件夹的访问权限。如果您使用 DFS 管理，请确保允许对共享文件的权限。

建议：如果您想增加附件文件夹和 LocalService 服务器之间的安全性，您可以：

1. 在防火墙上设置规则（以管理服务器和附件文件夹之间的流量）。

2. 打开附件文件夹的审计日志。

3. 此外，如果您有一个好的防病毒软件，您可以设置规则来允许或拒绝附件文件夹的权限。