在 Active Directory 中保护基于用户的服务帐户

项目
02/29/2024

本地用户帐户是有助于保护在 Windows 上运行的服务的传统方法。目前，使用这些帐户的前提是你的服务不支持组托管服务帐户 (gMSA) 和独立托管服务帐户 (sMSA)。有关要使用的帐户类型的信息，请参阅保护本地服务帐户。

你可以调查是否可以将服务移到 Azure 服务帐户（例如托管标识或服务主体）。

了解详细信息：

你可以创建本地用户帐户，为帐户用来访问本地资源和网络资源的服务和权限提供安全性。与其他 Active Directory (AD) 用户帐户一样，本地用户帐户需要手动管理密码。服务和域管理员需要维护强密码管理流程，以帮助确保帐户的安全。

创建用作服务帐户的用户帐户时，请将其用于一个服务。使用一个命名约定来阐明它是一个服务帐户，并阐明与之相关的服务。

优点和挑战

本地用户帐户是一种通用的帐户类型。用作服务帐户的用户帐户受管理用户帐户的策略控制。如果不能使用 MSA，请使用它们。评估计算机帐户是否是更好的选择。

下表总结了本地用户帐户的挑战：

挑战	缓解措施
密码管理是手动的，会导致安全性减弱和服务停机	- 确保密码的常规复杂性，并通过维护强密码的流程来管理更改 - 通过服务密码来协调密码更改，以便缩短服务停机时间
识别是服务帐户的本地用户帐户可能会很困难	- 记录在环境中部署的服务帐户 - 跟踪帐户名称及其可以访问的资源 - 考虑将前缀 svc 添加到用作服务帐户的用户帐户

查找用作服务帐户的本地用户帐户

本地用户帐户类似于其他 AD 用户帐户。可能很难找到帐户，因为没有用户帐户属性将其标识为服务帐户。建议为用作服务帐户的用户帐户创建命名约定。例如，将前缀 svc 添加到服务名称：svc-HRDataConnector。

使用以下部分条件来查找服务帐户。但是，这种方法可能找不到帐户：

可安全用于委派
使用服务主体名称
使用永不过期的密码

若要查找用于服务的本地用户帐户，请运行以下 PowerShell 命令：

查找受信任的用于委托的帐户：


Get-ADObject -Filter {(msDS-AllowedToDelegateTo -like '*') -or (UserAccountControl -band 0x0080000) -or (UserAccountControl -band 0x1000000)} -prop samAccountName,msDS-AllowedToDelegateTo,servicePrincipalName,userAccountControl | select DistinguishedName,ObjectClass,samAccountName,servicePrincipalName, @{name='DelegationStatus';expression={if($_.UserAccountControl -band 0x80000){'AllServices'}else{'SpecificServices'}}}, @{name='AllowedProtocols';expression={if($_.UserAccountControl -band 0x1000000){'Any'}else{'Kerberos'}}}, @{name='DestinationServices';expression={$_.'msDS-AllowedToDelegateTo'}}

查找具有服务主体名称的帐户：


Get-ADUser -Filter * -Properties servicePrincipalName | where {$_.servicePrincipalName -ne $null}

查找密码永不过期的帐户：


Get-ADUser -Filter * -Properties PasswordNeverExpires | where {$_.PasswordNeverExpires -eq $true}

可审核对敏感资源的访问，并将审核日志存档到安全信息和事件管理 (SIEM) 系统。使用 Azure Log Analytics 或 Microsoft Sentinel，可搜索并分析服务帐户。

评估本地用户帐户安全性

使用以下条件评估用作服务帐户的本地用户帐户的安全性：

密码管理策略
在特权组中具有成员身份的帐户
重要资源的读/写权限

缓解潜在的安全问题

有关潜在的本地用户帐户安全问题及其缓解措施，请参阅下表：

安全问题	缓解措施
密码管理	- 确保密码复杂性和密码更改受定期更新和强密码要求的约束 -使用密码更新来协调密码更改，以最大限度减少服务故障时间
帐户是特权组的成员	- 查看组成员身份 - 从特权组中删除帐户 - 授予帐户运行其服务所需的权利和权限（请咨询服务供应商） - 例如，拒绝本地登录或交互式登录
该帐户具有敏感资源的读/写权限	- 审核对敏感资源的访问权限 - 将审核日志存档到 SIEM：Azure Log Analytics 或 Microsoft Sentinel - 如果检测到不需要的访问级别，则修正资源权限

安全的帐户类型

Microsoft 不建议将本地用户帐户用作服务帐户。对于使用此帐户类型的服务，请评估一下，是可以将它配置为使用 gMSA 还是使用 sMSA。此外，请评估是否可以将服务移至 Azure 以启用更安全的帐户类型。

后续步骤

详细了解保护服务帐户：

通过