Zarządzanie kontami usług

Zarządzanie kontami usług obejmuje przypisywanie im tożsamości i uprawnień potrzebnych do działania.

Tożsamość konta usługi i zakres jego działania

Konto usługi to tożsamość używana przez proces działający bez bezpośredniej obsługi człowieka. Proces może dzięki niej uruchamiać aplikację, odczytywać pliki, zapisywać dane, łączyć się z innym systemem albo wykonywać zadania cykliczne. Tożsamość jest rozpoznawana przez system operacyjny lub usługę katalogową, a przypisane uprawnienia określają, do jakich zasobów proces ma dostęp. Konto nie powinno być utożsamiane z kontem administratora używanym przez pracownika, ponieważ jego zadaniem jest obsługa konkretnego programu lub funkcji.

W środowisku Windows konto usługi może być lokalnym kontem użytkownika, kontem domenowym albo jednym z wbudowanych kont usługowych, takich jak LocalSystem, LocalService i NetworkService. LocalSystem ma bardzo szerokie uprawnienia w komputerze lokalnym, dlatego jego użycie zwiększa skutki ewentualnego przejęcia procesu. LocalService działa z ograniczonymi prawami lokalnymi, natomiast NetworkService korzysta z ograniczonych praw lokalnych i może przedstawiać komputer w sieci jako swoje konto komputera. Dobór tożsamości powinien wynikać z rzeczywistych wymagań programu.

Zasada najmniejszych uprawnień w praktyce

Najmniejsze uprawnienia oznaczają przyznanie kontu tylko tych praw, które są wymagane do uruchomienia i poprawnego działania usługi. Jeżeli aplikacja musi odczytywać pliki z katalogu, konto otrzymuje prawo odczytu tego katalogu, ale nie automatycznie pełną kontrolę nad całym dyskiem. Jeżeli potrzebny jest zapis, warto ograniczyć go do konkretnego podkatalogu. Osobno należy analizować uprawnienia do plików, udziałów sieciowych, kluczy rejestru, urządzeń, portów oraz zasobów innych systemów.

W systemie Linux konta usług są zwykle reprezentowane przez użytkowników systemowych bez możliwości interaktywnego logowania. Dla procesu można ustawić osobny identyfikator użytkownika i grupę, a dostęp do plików kontrolować przez właściciela, grupę oraz bity uprawnień. Usługa uruchamiana przez systemd może korzystać między innymi z ustawień User= i Group=, które powodują uruchomienie procesu z określoną tożsamością. Dodatkowe ograniczenia mogą obejmować dostęp do katalogów, urządzeń i systemu plików, ale muszą być zgodne z wymaganiami konkretnej aplikacji.

Hasła, klucze i automatyczna rotacja poświadczeń

Stałe hasło zapisane w pliku konfiguracyjnym, skrypcie lub zmiennej środowiskowej jest trudne do bezpiecznego utrzymywania. Może trafić do kopii zapasowych, historii poleceń, logów albo repozytorium kodu. Poświadczenia konta usługi powinny być przechowywane w kontrolowanym magazynie sekretów, a dostęp do nich powinien mieć tylko proces lub administratorzy, którzy rzeczywiście go potrzebują. W przypadku usług korzystających z certyfikatów lub kluczy prywatnych trzeba kontrolować także prawa do plików i termin ważności certyfikatu.

W domenie Active Directory można stosować grupowe konta usług zarządzane, czyli gMSA. System może wtedy automatycznie zmieniać hasło konta, a usługa korzysta z poświadczeń bez konieczności wpisywania stałego hasła przez administratora. gMSA jest przeznaczone dla usług działających na komputerach należących do domeny i wymaga prawidłowego przygotowania domeny oraz wskazania komputerów uprawnionych do używania konta. Nie każda aplikacja obsługuje taki model, dlatego przed zmianą należy sprawdzić sposób uwierzytelniania używany przez konkretną usługę.

Diagnostyka kont usług w laptopie lub komputerze

Problemy z kontem usługi często pojawiają się po zmianie hasła, wygaśnięciu certyfikatu, odebraniu praw do katalogu albo przeniesieniu programu na inny komputer. Typowym objawem jest nieuruchamianie się usługi, komunikat o odmowie dostępu, brak możliwości zapisu pliku konfiguracyjnego lub nieudane połączenie z zasobem sieciowym. Diagnostyka powinna obejmować nazwę konta, sposób uruchamiania procesu, prawa do wymaganych zasobów oraz wpisy w dzienniku zdarzeń systemu.

Przy naprawie należy najpierw ustalić, czy błąd dotyczy samej aplikacji, systemu operacyjnego, usługi katalogowej czy dostępu do zasobu zdalnego. Nie powinno się rozwiązywać problemu przez bezrefleksyjne nadanie kontu uprawnień administratora. Bezpieczniejsza jest próba odtworzenia minimalnego zestawu praw i sprawdzenie działania usługi po każdej zmianie. W komputerze domowym lub biurowym warto również zweryfikować, czy nie pozostały stare konta po odinstalowanych programach oraz czy konto usługi nie ma niepotrzebnego prawa do logowania interaktywnego.