Konto usługi domenowej

Konto usługi domenowej to tożsamość z Active Directory, w kontekście której uruchamiana jest usługa serwerowa.

Tożsamość usługi w domenie Active Directory

Konto usługi domenowej to obiekt użytkownika w usłudze Active Directory, wykorzystywany jako tożsamość procesu uruchamiającego usługę systemową lub aplikację działającą na komputerze przyłączonym do domeny. Usługa może korzystać z tego konta podczas dostępu do udziałów sieciowych, baz danych, drukarek, innych usług albo zasobów znajdujących się na komputerach objętych tą samą domeną lub zaufanymi domenami. W przeciwieństwie do lokalnego konta użytkownika konto domenowe jest rozpoznawane przez kontroler domeny i podlega centralnym zasadom uwierzytelniania oraz autoryzacji.

W konfiguracji usługi określa się nazwę konta, z którego proces ma korzystać, oraz poświadczenia wymagane do jego uruchomienia. Samo uwierzytelnienie nie nadaje jeszcze dostępu do wszystkich zasobów. Uprawnienia wynikają osobno z członkostwa w grupach, wpisów kontroli dostępu ACL, praw przypisanych do udziałów oraz lokalnych zasad zabezpieczeń na komputerze, na którym działa usługa.

Logowanie usługi i mechanizmy uwierzytelniania

Podczas uruchamiania usługi system Windows musi potwierdzić, że wskazane konto może zalogować się w kontekście usługi. Służy do tego między innymi prawo „Log on as a service”, przypisywane w lokalnej zasadzie zabezpieczeń albo za pośrednictwem zasad grupy. Jeżeli konto nie ma tego prawa, usługa może nie wystartować mimo poprawnej nazwy i hasła. Podobny problem występuje po zmianie hasła, wygaśnięciu konta, jego zablokowaniu albo odebraniu prawa logowania.

W środowisku domenowym podstawowym protokołem uwierzytelniania jest Kerberos, który korzysta z biletów wydawanych przez kontroler domeny. W określonych sytuacjach system może użyć protokołu NTLM, na przykład gdy Kerberos nie może zostać zastosowany. Dla usług sieciowych istotna jest poprawna rejestracja nazwy usługi SPN, czyli Service Principal Name. SPN wiąże konkretną usługę i nazwę hosta z kontem domenowym, dzięki czemu klient może otrzymać bilet Kerberos dla właściwej tożsamości. Duplikat SPN albo przypisanie go do niewłaściwego konta może powodować błędy uwierzytelniania i wymuszać użycie NTLM.

Uprawnienia, hasła i konta zarządzane

Konto używane przez usługę powinno mieć tylko takie uprawnienia, jakie są wymagane do wykonania jej zadań. Nadanie mu uprawnień administratora domeny lub administratora lokalnego zwiększa zakres skutków przejęcia poświadczeń i utrudnia ustalenie rzeczywistego modelu dostępu. Przy analizie należy rozdzielić prawa systemowe na komputerze, uprawnienia do udziału sieciowego, uprawnienia systemu plików NTFS oraz uprawnienia aplikacji. Dostęp do udziału jest wynikiem połączenia tych mechanizmów, a najbardziej restrykcyjny poziom może ograniczyć operację.

Klasyczne konto użytkownika używane przez usługę wymaga przechowywania hasła w konfiguracji usługi lub systemowym magazynie poświadczeń. Zmiana hasła w Active Directory bez równoczesnej aktualizacji konfiguracji usługi zwykle powoduje nieudane uruchomienie albo błędy dostępu. W środowiskach Windows można stosować konta zarządzane, w tym gMSA, czyli group Managed Service Account. Hasło gMSA jest zarządzane przez domenę i automatycznie zmieniane, a usługa nie wymaga ręcznego wpisywania aktualnego hasła przy każdej rotacji. Komputery lub grupy komputerów uprawnione do pobierania hasła muszą być jawnie określone w atrybucie kontrolującym dostęp do hasła zarządzanego konta.

Przy diagnozowaniu problemu warto sprawdzić stan konta, datę wygaśnięcia hasła, blokady, członkostwo w grupach, prawo logowania jako usługa, konfigurację nazwy konta oraz zdarzenia w dziennikach systemu Windows i usługi katalogowej. Należy również potwierdzić synchronizację czasu między komputerem a kontrolerem domeny, ponieważ Kerberos odrzuca bilety, gdy różnica czasu przekracza dopuszczalny zakres. Błędny DNS może z kolei uniemożliwić odnalezienie kontrolera domeny lub prawidłowego hosta usługi.

Objawy nieprawidłowej konfiguracji konta

Problemy z kontem usługi domenowej mogą pojawić się jako błąd uruchomienia usługi, komunikat o nieudanym logowaniu, brak dostępu do udziału sieciowego albo powtarzające się żądania poświadczeń. W Podglądzie zdarzeń należy porównać czas wystąpienia problemu z logami usługi, systemu oraz zabezpieczeń. Znaczenie ma także kod błędu: odrzucone hasło, brak prawa logowania, blokada konta, niedostępny kontroler domeny i problem z biletem Kerberos wskazują na różne warstwy konfiguracji.

Diagnostyka powinna rozpocząć się od ustalenia, pod jakim kontem proces rzeczywiście działa, ponieważ nazwa widoczna w dokumentacji może różnić się od ustawienia zapisane­go w systemie. Następnie sprawdza się zależności usługi, dostępność DNS i kontrolera domeny, stan kanału zabezpieczonego komputera oraz poprawność SPN, jeśli usługa korzysta z Kerberos. Zmiana hasła bez planu odtworzenia konfiguracji może wywołać kolejne błędy, dlatego każdą korektę należy wykonywać z uwzględnieniem zależnych usług, zadań i aplikacji.

W przypadku komputerów i aplikacji działających w środowisku domenowym ocena problemu wymaga połączenia informacji z systemu Windows, konfiguracji usługi oraz odpowiedzi kontrolera domeny. Sama reinstalacja aplikacji nie usuwa błędnych uprawnień, duplikatu SPN ani blokady konta. Dopiero ustalenie, czy błąd dotyczy tożsamości procesu, uwierzytelniania, autoryzacji czy łączności z domeną, pozwala dobrać właściwe działanie naprawcze.