Servicekonten erstellen und konfigurieren – Videokurs: Windows Server | LinkedIn Learning, früher Lynda.com (2024)

“

Wie Sie ein Dienstkonto, ein Servicekonto, ein Service-Account erstellen, das ist übrigens immer das Gleiche, einfach jetzt mit anderen Wörtern ausgedrückt, zeige ich Ihnen gleich jetzt. Manchmal liest man in den Büchern, dass es sich um ein Servicekonto handelt, manchmal liest man, dass es sich um ein Dienstkonto handelt oder im Englischen ein Service-Account, es wird immer das Gleiche damit gemeint. Es wird ein Konto benötigt, das beispielsweise einem Backup Agent zugewiesen werden kann. Ich werde das später noch etwas erläutern, was ich damit meine. Ich öffne die Konsole Active Directory-Benutzer und -Computer, damit ich ein Dienstkonto erstellen kann. Ich kann dieses Dienstkonto ablegen in einer Organisationseinheit, in einem Container, das spielt keine große Rolle. Ich verwende jetzt einmal ganz einfach den Container Users, klicke auf diese Schaltfläche, um ein neues Objekt zu erstellen. Ich verwende hier Acronis, das ist ein Backup-Programm und der Anmeldername ist ebenfalls Acronis. Ich erhalte direkt Informationen über den UPN, das ist acronis@master.pri oder der, ich sage mal, alte Anmeldename ist MASTER\acronis. Es geht weiter, ich setze nun das Passwort ein. Dann, bei einem Dienstkonto ist es wichtig, dass diese Markierung entfernt wird: Benutzer muss Kennwort bei der nächsten Anmeldung ändern, werde ich entfernen. Und dann, Benutzer kann Kennwort nicht ändern und Kennwort läuft nie ab. Und es geht weiter. Ich erhalte die Übersicht und ich wähle Fertig stellen. Jetzt ist mein Dienstkonto vorhanden, der Name ist Acronis. Jetzt öffne ich die Konsole Services, weil ich möchte vielleicht eben dieses Dienstkonto einem spezifischen Dienst zuweisen. Die Konsole Services ist geöffnet und jetzt kann ich den Dienst auswählen, beispielsweise verwenden wir einmal von VMware, da die VMware Tools-Umgebung hier haben wir die VWware Tools, Rechtsklick Eigenschaften und dann bei Anmelden können wir nun unser Konto hinzufügen. Ich hätte hier die Möglichkeit, Dieses Konto zu markieren und jetzt auf Durchsuchen zu klicken, aber das werde ich jetzt nicht umsetzen, ich wollte Ihnen einfach zeigen, für was unter anderem ein Dienstkonto eingesetzt werden kann. Vor allem eben, wenn Sie mit Backup-Programmen arbeiten, installieren Sie auf Ihren Systemen einen Backup-Agent und dann können Sie ein Dienst-Konto zuweisen, das spezifische Rechte hat, damit das Backup ausgeführt werden kann. Und jetzt sage ich Ihnen gleich etwas: Das Erstellen von einem solchen Dienstkonto ist absolut falsch. Jetzt denken Sie vielleicht: "Moment, hey Tom, warum haben Sie uns das jetzt erklärt?" Weil das wird vielfach in den Firmenumgebungen genau so umgesetzt. Aber jetzt haben wir ein Problem, unter anderem. Ich wähle Rechtsklick aus, Eigenschaften auf diesem Konto, dann wähle ich das Register Konto aus und hier haben wir Kennwort läuft nie ab markiert. Jetzt kommt ein paar Tage später Ihr Sicherheitsbeauftragter und sagt Ihnen: "Ab sofort gibt es keine Konten mehr, welche die Option gesetzt haben Kennwort läuft nie ab." Und spätestens ab jetzt haben Sie ein Problem, weil Sie müssen jetzt nämlich bei sämtlichen Konten, die die Markierung gesetzt haben Kennwort läuft nie ab, diese Markierung entfernen. Und was ist die Quintessenz daraus? Das Problem ist, dass wenn Sie eben solche Servicekonten erstellt haben, dann kann es sein, dass zu einem Tag X das Backup-Programm nicht mehr ausgeführt werden kann, weil das Passwort abgelaufen ist. Sie müssen jetzt also ein Passwort-Management aufbauen, damit Sie immer frühzeitig von allen diesen Dienstkonten das Passwort ändern, bevor es ein Problem generiert, weil das Kennwort nicht mehr gültig ist. Und für solche Zwecke gibt es die sogenannten Servicekonten oder eben diese Service Accounts und zwar die Managed Service Accounts. Die Managed Service Accounts sind eine Kombination aus einem Computerkonto und aus einem Benutzerkonto. Was meine ich damit? Bei einem Computerkonto, wie beispielsweise hier FILESRV01, ist das Active Directory verantwortlich, um das Passwort regelmäßig zu ändern, damit der sogenannte Secure Channel aufrechterhalten werden kann. Der Secure Channel ist nichts anderes als, dass das System FILESRV sich regelmäßig beim Active Directory meldet, um die Zugehörigkeit zur Domäne gewährleisten zu können. Das wird vom Active Directory selber verwaltet. Der Vorteil von einem Benutzerkonto ist, dass Sie bei diesem Benutzerkonto Acronis die Mitgliedschaft anpassen können. Sie können dem Konto verschiedene Berechtigungen zuweisen. Wir haben hier Acronis, Doppelklick, dann wähle ich Mitglied von und ich kann hier verschiedene Berechtigungen zuweisen. Und ein Managed Service Account nimmt aus diesen beiden Konten jeweils die Vorteile zusammen und das ergibt dann das Servicekonto. Es gibt das sogenannte Servicekonto, ein Managed Service Account -- spreche es jetzt einmal so aus -- und es gibt eine neuere Version und die neuere Version heißt, Group Managed Service Account, ein kleines g und dann groß MSA, Group Managed Service Account. Das hat einen weiteren Vorteil, weil ein Standard-Servicekonto 1 ein Standard-Managed Service Account hat eine Einschränkung. 1 Man kann dieses Konto nur lokal auf diesem System einsetzten, 1 wo das Konto erzeugt wurde, also in meinem Fall wäre es auf server01. 1 Das ist eine riesige Einschränkung. 1 Ein Group Managed Service Account 1 kann auf verschiedenen Systemen implementiert werden. 1 Eine Voraussetzung ist, dass mindestens ein Domänencontroller 1 das Betriebssystem installiert hat, Windows Server 2012 oder höher. 1 Wir haben hier 2016, darum ist alles so weit okay. 1 Also, bevor ich jetzt Ihnen zeige, 1 wie Sie ein Group Managed Service Konto erstellen, 1 nochmals eine kurze Repetition, welche für mich sehr wichtig ist. 1 Verwenden Sie bitte nicht ein Standard-Benutzerkonto 1 für ein Servicekonto. 1 Wir haben gesehen es gibt die Problematik, 1 dass die Option gesetzt worden ist Kennwort läuft nie ab. 1 Das ist niemals ideal, vor allem dann, wenn Sie die Auflage erhalten, 1 dass die Passwörter alle 42 Tage geändert werden müssen, 1 beispielsweise, dann haben wir mit dieser Option ein Problem. 1 Wenn der Sicherheitsbeauftragte sagt: 1 "Es gibt keine Konten, welche diese Option gesetzt haben", 1 haben wir ebenfalls ein Problem. 1 Darum empfiehlt es sich nicht, mit Standard-Benutzerkonten zu arbeiten 1 und diese dann einem Dienst zuzuweisen. 1 Für das gibt es die Service Accounts oder eben die neuere Version 1 die Group Managed Service Accounts 1 und das werde ich Ihnen im nächsten Video zeigen, 1 wie Sie ein Group Managed Service Account erstellen können.