Windows - 将本地服务和/或网络服务帐户用于 Windows 服务

Question

我创建了一个窗口服务，用于监视 Windows 操作系统上特定目录中的文件。当检测到文件时，该服务会执行一些文件 I/O、读取文件、创建子目录等。该服务还使用数据库连接来连接到另一台服务器。我的计划是让服务作为默认的“本地服务”帐户运行。由于我需要允许写/读权限，显然“本地服务”帐户默认情况下不会这样做，因此我将在我所在文件夹上为“本地服务”帐户明确设置“完全控制”权限读/写。

我相信以上是好的。我的问题是，对于我正在读取和写入的文件夹，我是否需要设置具有完全控制访问权限的“网络服务”角色？我想知道由于我的服务使用到另一台服务器的数据库连接，我是否需要“网络服务”帐户设置。

我可能误解了“网络服务”帐户的作用。

Answer 1

仅当您与域中需要您的计算机凭据进行访问控制的其他计算机进行通信时，才需要该NT AUTHORITY\NetworkService帐户。简单的 Internet/网络访问不需要它。仅在 Active Directory 域中用于特定目的时才需要。

此外，该NT AUTHORITY\LocalService帐户的全部意义在于它在系统上具有最低权限。赋予它更高的特权会降低系统上旨在以低特权级别运行的许多服务的安全性。如果您的服务需要超出这些权限的权限，您应该为它创建一个具有必要权限的新帐户，并在服务属性的“登录”选项卡中设置该帐户。（这也可以以编程方式完成。）

您也可以使用NT AUTORITY\LocalSystemaccount运行它，它可以无限制地访问您的系统，但我假设您想使用该LocalService帐户来提高它提供的安全性。