Konto Local Service

Konto Local Service to wbudowana tożsamość Windows o ograniczonych uprawnieniach lokalnych i anonimowym dostępie sieciowym.

Czym jest konto Local Service w systemie Windows

Konto Local Service, widoczne także jako NT AUTHORITY\LocalService, jest wbudowaną tożsamością systemu Windows przeznaczoną do uruchamiania wybranych usług systemowych. Nie jest to zwykłe konto użytkownika zakładane do codziennej pracy i nie służy do logowania się do pulpitu w taki sam sposób jak konto lokalne lub konto Microsoft. System wykorzystuje je jako kontekst bezpieczeństwa procesu, czyli zestaw uprawnień i identyfikatorów, z którymi działa dana usługa.

Local Service ma ograniczone uprawnienia lokalne. W praktyce oznacza to, że proces uruchomiony pod tym kontem nie powinien automatycznie otrzymywać pełnego dostępu administracyjnego do systemu plików, rejestru ani ustawień systemowych. Jednocześnie konto może korzystać z podstawowych mechanizmów systemu potrzebnych do wykonania konkretnego zadania. Zakres faktycznych możliwości zależy jednak także od uprawnień nadanych usłudze, jej tokenu dostępu, grup zabezpieczeń oraz praw przydzielonych do konkretnych obiektów.

Różnica między Local Service, Local System i Network Service

Wbudowane konta usługowe Windows mają różne poziomy zaufania i różne zachowanie podczas dostępu do zasobów sieciowych. Local System, identyfikowane jako NT AUTHORITY\SYSTEM, dysponuje bardzo szerokimi uprawnieniami lokalnymi i dlatego uruchamianie aplikacji pod tym kontem zwiększa skutki ewentualnego błędu lub przejęcia procesu. Network Service, identyfikowane jako NT AUTHORITY\NetworkService, ma ograniczone uprawnienia lokalne, lecz podczas uwierzytelniania w sieci może przedstawiać poświadczenia komputera.

Local Service również działa z ograniczonymi uprawnieniami lokalnymi, ale jego domyślny dostęp sieciowy jest anonimowy. Nie oznacza to, że każdy proces uruchomiony w ten sposób może swobodnie komunikować się z dowolnym urządzeniem. Połączenie nadal podlega zaporze systemu Windows, regułom sieci, uprawnieniom aplikacji, konfiguracji usługi i używanemu protokołowi. Różnica dotyczy przede wszystkim tożsamości przedstawianej przy dostępie do zasobów zdalnych, a nie samego faktu, że proces może otworzyć połączenie sieciowe.

Wybór konta usługi powinien wynikać z rzeczywistych wymagań programu. Jeżeli usługa nie potrzebuje uprawnień administratora ani dostępu do zasobów sieciowych pod tożsamością komputera, Local Service może ograniczyć zakres potencjalnych skutków awarii. Nie należy jednak zmieniać konta uruchomieniowego bez sprawdzenia dokumentacji producenta. Usługa może wymagać dostępu do określonego katalogu, klucza rejestru, urządzenia albo uprawnienia systemowego przydzielonego tylko dla pierwotnego kontekstu.

Jak konto Local Service wpływa na działanie usług

Każda usługa Windows działa jako proces lub część procesu uruchamianego przez mechanizm Service Control Manager. W konfiguracji usługi zapisany jest między innymi sposób uruchamiania oraz konto, którego token bezpieczeństwa zostanie użyty. Token określa identyfikator konta, członkostwo w grupach, przywileje i dostęp do zabezpieczonych zasobów. Sama obecność nazwy Local Service w konfiguracji nie oznacza błędu; często jest to zamierzone ustawienie ograniczające uprawnienia.

Problemy pojawiają się wtedy, gdy usługa próbuje wykonać operację wymagającą wyższych praw. Przykładem może być zapis w katalogu, do którego konto Local Service nie ma uprawnień, odczyt klucza rejestru z ograniczonym dostępem albo użycie zasobu sieciowego wymagającego uwierzytelnienia użytkownika lub komputera. Objawem może być nieudane uruchomienie usługi, powtarzające się wpisy w Podglądzie zdarzeń, brak funkcji aplikacji albo komunikat o odmowie dostępu.

Podczas diagnostyki warto ustalić dokładną nazwę usługi, jej plik wykonywalny, parametry startowe i konto wskazane w zakładce logowania właściwości usługi. Pomocne są również dzienniki systemowe oraz dzienniki aplikacji, ponieważ komunikat „usługa nie uruchomiła się” nie zawsze wskazuje właściwą przyczynę. Należy rozróżnić błąd uprawnień od uszkodzenia pliku programu, zależności od innej usługi, błędnej konfiguracji, blokady przez zabezpieczenia lub problemu z systemem plików.

Bezpieczna diagnostyka konfiguracji Local Service

Konfigurację usług można sprawdzić w konsoli services.msc, w Podglądzie zdarzeń oraz za pomocą narzędzi administracyjnych Windows. Polecenie sc.exe qc NazwaUsługi pozwala odczytać podstawowe parametry usługi, w tym konto uruchomieniowe i ścieżkę pliku. Do sprawdzenia stanu można użyć polecenia sc.exe query NazwaUsługi. W PowerShellu podobną informację zwraca Get-CimInstance Win32_Service, między innymi w polach Name, State, StartName i PathName.

Zmiany należy wykonywać dopiero po zapisaniu stanu początkowego i ustaleniu, jaki komponent korzysta z danej usługi. Nie powinno się nadawać kontu Local Service pełnych praw administratora ani przyznawać szerokiego dostępu do całego dysku tylko po to, aby ukryć komunikat o odmowie dostępu. Bezpieczniejszym rozwiązaniem jest ustalenie konkretnego zasobu, którego brakuje, oraz nadanie minimalnych, precyzyjnych uprawnień, o ile producent usługi dopuszcza taką modyfikację. W przypadku usługi systemowej przypadkowe wyłączenie może wpłynąć na uruchamianie systemu, sieć, drukowanie, aktualizacje lub działanie aplikacji.

Jeżeli konto Local Service jest wskazywane w błędzie, należy sprawdzić również integralność systemu Windows, zależności usługi i aktualność sterowników powiązanych z urządzeniem. Narzędzia takie jak sfc i DISM mogą pomóc w ocenie uszkodzeń składników systemowych, ale ich użycie powinno być poprzedzone analizą objawów i logów. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC oraz ich podzespołów, w tym diagnostyką problemów z systemem Windows i usługami, które nie uruchamiają się prawidłowo.