Windows Server 2022 - Service-Account?

[Cryer 17]

Ich würde gerne einen Service-Account in Windows Server 2022 anlegen. Also einen Benutzer, der sich gegenüber AD authenifizieren, aber nicht an einem Computer anmelden kann.

Ziel ist es, dass man damit zum Beispiel Dokuwiki an AD anbindet oder Kopierer auf eine Dateifreigabe auf dem Server scannen können, also letztlich halt externe Dienste an AD anbinden kann.

 

Ich meine, dass es früher auch mal eine entsprechende Checkbox in der Benutzverwaltung auf dem Server gab, aber entweder finde ich sie nicht mehr oder die Option wurde gestrichen. Früher habe ich sowas nicht verwendet, aber jetzt mit der kompletten Neustrukturierung von Netzwerk und Server soll es natürlich richtig gemacht werden.

[cj_berlin 1.171]

Moin,

 

im User-Account kannst Du nur die Workstations hinterlegen, von denen aus es sich anmelden darf, und Zeiten. Wenn das DokuWiki (ich nehme an, auf Linux) damit klar kommt, ist das Problem schon gelöst.

 

Für alles andere gibt es Policies ("loklae Anmeldung verweigern", "Anmeldung über remotedesktopdienste verweigern" usw.) womit Du den Member-Maschinen mitteilen kannst, dass dieses Acount sich NICHT dort interaktiv anmelden darf.

[Cryer 17]

Ist das, was du da beschreibst nicht ein Funktionsaccount?

[cj_berlin 1.171]

Ich weiß nicht, was ein "Funktionsaccount" in Deiner Welt ist  Vielleicht. Aber genau das suchst Du doch, oder?

[Dukel 439]

@Cryer Wo siehst du den Unterschied zwischen Funktions und Service Account?

[daabm 1.212]

seServiceLogonRight, seDenyInteractiveLogonRight und seDenyRemoteInteractiveLogonRight sind die Rechte, auf die es hier ankommt

Mit den Accounteinstellungen sollte man da gar nicht erst anfangen. Zum Einlesen: https://evilgpo.blogspot.com/2015/04/wer-bin-ich-und-was-darf-ich.html

Und nein, so eine "Checkbox" gab es nie.

 

[Cryer 17]

vor 9 Stunden schrieb Dukel:

@Cryer Wo siehst du den Unterschied zwischen Funktions und Service Account?

 

Service-Account: Account zur Anbindung und Authentifizierung externer Dienste gegenüber AD. Anmeldung an PCs damit nicht möglich.

Funktionsaccount: Kann nur an Computen verwendet werden, bei denen der Account hinterlegt wurde. Bei allen anderen Geräten wird die Anmeldung verweigert.

bearbeitet 17. Mai von Cryer

[daabm 1.212]

Das regelt man aber bitte nicht über "allowed to logon" in den Accounteinstellungen, sondern über passende Gruppen und seDenyInteractiveLogonPrivilege (bzw. wenn die Umgebung vom Grundsatz her eh keine Anmeldung erlaubt - was auf Dauer einfacher ist - über seInteractiveLogonPrivilege).

[cj_berlin 1.171]

vor einer Stunde schrieb Cryer:

 

Service-Account: Account zur Anbindung und Authentifizierung externer Dienste gegenüber AD. Anmeldung an PCs damit nicht möglich.

Funktionsaccount: Kann nur an Computen verwendet werden, bei denen der Account hinterlegt wurde. Bei allen anderen Geräten wird die Anmeldung verweigert.

Siehst Du, und für Windows-Menschen ist ein Service-Account einer, unter dem ein Dienst ausgeführt wird 😊

 

Drum frage ich ja.

[v-rtc 83]

Und AD Anmeldung nannten wir immer LDAP… ☺️

[Cryer 17]

Am 17.5.2024 um 19:25 schrieb cj_berlin:

Siehst Du, und für Windows-Menschen ist ein Service-Account einer, unter dem ein Dienst ausgeführt wird 😊

 

Drum frage ich ja.

OK, dann hatte ich die interne Bezeichnung eines anderen Unternehmens wo das so bezeichnet wird falsch verwendet. Sorry Leute.

 

Um dann aber wieder auf das Thema zu kommen:

Wie kann ich einen Account erstellen, den man zur Anbindung externer Dienste verwendet, ggf. auch rechtemäßig entsprechend einschränken, dass ausschließlich eine Authentifizierung damit stattfinden kann, aber keine Anmeldung an den Clients möglich ist? Geht das ausschließlich über GPO oder kann man irgendwo, ggf. über PowerShell ein entsprechendes Benutzerattribut setzen?

[daabm 1.212]

GPO. Siehe Link oben - seDenyXYZright.

[MurdocX 913]

vor 3 Stunden schrieb Cryer:

Wie kann ich einen Account erstellen, den man zur Anbindung externer Dienste verwendet, ggf. auch rechtemäßig entsprechend einschränken, dass ausschließlich eine Authentifizierung damit stattfinden kann, aber keine Anmeldung an den Clients möglich ist?

 

Ohne Anpassungen an Clients oder User-Objekten durchführen zu müssen, kannst du das mit einem "Group Managed Service Account" erreichen. Ich vermute mal, dass es das ist was du suchst. 

 

Schau mal hier:

• Group Managed Service Accounts Overview | Microsoft Learn
• Getting Started with Group Managed Service Accounts | Microsoft Learn

 

Warum ist die Frage nicht einfach zu beantworten?

Es gibt mehrere Service-Typen. Jeder hat seine eigenen Bedingungen und Einsatzszenarien. Service Accounts | Microsoft Learn

 

• Virtuelle Accounts
• Managed Service Account
• Group Managed Service Account
• Benutzer Account (Kann dafür genutzt werden. Hat auch Nachteile)

 

VG,

Jan

[v-rtc 83]

vor 2 Stunden schrieb MurdocX:

 

Ohne Anpassungen an Clients oder User-Objekten durchführen zu müssen, kannst du das mit einem "Group Managed Service Account" erreichen. Ich vermute mal, dass es das ist was du suchst. 

 

Schau mal hier:

• Group Managed Service Accounts Overview | Microsoft Learn
• Getting Started with Group Managed Service Accounts | Microsoft Learn

 

Warum ist die Frage nicht einfach zu beantworten?

Es gibt mehrere Service-Typen. Service Accounts | Microsoft Learn

 

• Virtuelle Accounts
• Managed Service Account
• Group Managed Service Account
• Benutzer Account (Kann dafür genutzt werden. Hat auch Nachteile)

 

VG,

Jan

Darf ich kurz fragen was ein virtueller Account ist? 

[NorbertFe 1.845]

vor 13 Minuten schrieb v-rtc:

Darf ich kurz fragen was ein virtueller Account ist? 

Man darf dem Link auch folgen. ;)

https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/understand-service-accounts#virtual-accounts