Konto Network Service

Konto Network Service to wbudowana tożsamość Windows uwierzytelniająca się w sieci danymi komputera.

Tożsamość Network Service w systemie Windows

Konto Network Service, występujące w systemie jako NT AUTHORITY\NETWORK SERVICE, jest wbudowaną tożsamością przeznaczoną do uruchamiania usług systemu Windows. Nie jest to zwykłe konto użytkownika tworzone przez administratora, lecz specjalny kontekst zabezpieczeń obsługiwany przez system operacyjny i Menedżera kontroli usług. Konto ma identyfikator SID S-1-5-20, dzięki któremu system może przypisywać mu uprawnienia do plików, kluczy rejestru, obiektów systemowych i innych zasobów.

Główną cechą tej tożsamości jest możliwość uwierzytelniania się w sieci jako komputer, na którym działa usługa. W środowisku domenowym usługa używająca Network Service korzysta z poświadczeń konta komputera, którego nazwa ma zwykle postać NAZWA-KOMPUTERA$. Oznacza to, że dostęp do udziału sieciowego, drukarki lub innego zasobu nie jest przyznawany na podstawie nazwy Network Service, lecz na podstawie uprawnień przypisanych kontu komputera w domenie.

Uprawnienia lokalne i uwierzytelnianie sieciowe

Lokalnie Network Service działa z ograniczonym zestawem praw. Usługa uruchomiona w tym kontekście nie otrzymuje pełnych uprawnień administratora ani tak szerokiego dostępu jak konto LocalSystem. Zakres dostępu zależy od wpisów kontroli dostępu ACL przypisanych do konkretnego pliku, katalogu, klucza rejestru lub obiektu systemowego. Jeżeli aplikacja wymaga zapisu w określonym katalogu, administrator powinien nadać prawo zapisu właśnie temu katalogowi, zamiast rozszerzać uprawnienia całego konta.

Podczas połączenia z zasobem sieciowym system może przedstawić poświadczenia konta komputera. W domenie Windows jest to zwykle obsługiwane przez mechanizmy Kerberos albo NTLM, zależnie od warunków uwierzytelniania i konfiguracji środowiska. Konto komputera musi mieć odpowiednie prawa na zasobie zdalnym, na przykład uprawnienie odczytu do udziału SMB oraz właściwe uprawnienia systemu plików NTFS. Sama obecność usługi w kontekście Network Service nie gwarantuje dostępu do zasobu, ponieważ ostateczny wynik zależy od konfiguracji serwera, domeny, relacji zaufania i list ACL.

Różnice względem innych kont usług

Network Service różni się od LocalSystem oraz LocalService zakresem tożsamości prezentowanej poza komputerem. LocalSystem ma bardzo szerokie uprawnienia lokalne i w sieci może uwierzytelniać się jako konto komputera, natomiast LocalService ma ograniczone uprawnienia lokalne i co do zasady nie zapewnia usłudze tej samej tożsamości komputera podczas dostępu do zasobów sieciowych. Network Service stanowi kompromis: ogranicza lokalne prawa procesu, a jednocześnie pozwala na użycie konta komputera w komunikacji z innymi systemami.

Network Service nie jest przeznaczone do interaktywnego logowania użytkownika. Nie powinno się wykorzystywać go jako konta do codziennej pracy, uruchamiania aplikacji biurowych ani przechowywania osobistych plików. Usługa działająca w tym kontekście nadal może zawierać własne błędy, wykonywać niebezpieczne operacje lub zostać wykorzystana przez podatność w aplikacji, dlatego ograniczenie uprawnień konta nie zastępuje aktualizacji systemu, kontroli konfiguracji i ograniczenia dostępu do danych.

Diagnostyka usług działających jako Network Service

Informację o koncie używanym przez usługę można sprawdzić w przystawce Usługi, uruchamiając services.msc, a następnie otwierając właściwości wybranej usługi i kartę logowania. W wierszu poleceń dane konfiguracyjne można odczytać poleceniem sc.exe qc NazwaUsługi. Warto zweryfikować również stan usługi, ścieżkę pliku wykonywalnego, wymagane zależności oraz uprawnienia do katalogów, z których korzysta proces.

Jeżeli usługa lokalnie działa poprawnie, ale nie może odczytać udziału sieciowego, należy sprawdzić, czy komputer należy do właściwej domeny, czy jego konto nie jest wyłączone oraz czy działa relacja zaufania między komputerem a domeną. Pomocne jest porównanie wpisów zabezpieczeń na zasobie zdalnym z nazwą konta komputera, na przykład DOMENA\PC-01$. Zmiana konta usługi na administratora nie jest prawidłową metodą diagnozy ani trwałym rozwiązaniem; najpierw należy ustalić, którego konkretnego uprawnienia brakuje i nadać je wyłącznie wymaganemu zasobowi.