Настройка типа запуска службы

Службы часто запускаются с параметрами по умолчанию. Например, при запуске служба может автоматически отключаться. Оснастку «Службы» можно использовать для изменения параметров службы по умолчанию. Это полезно при устранении неполадок в работе службы, или если необходимо изменить учетную запись безопасности, с которой работает служба.

Необходимое требование для выполнения этой процедуры – это членство в группе Операторы учета или в группах Администраторы домена, Администраторы предприятия. Подробности см. далее, в разделе «Прочие вопросы».

Настройка типа запуска службы

Чтобы настроить тип запуска службы с помощью интерфейса Windows

Нажмите кнопку Пуск, щелкните в поле Начать поиск, введите services.msc и нажмите клавишу ВВОД.

Дополнительно, экспортируйте и сохраните список существующих параметров. Для этого щелкните правой кнопкой мыши узел Службы, выберите команду Экспортировать список и сохраните список параметров.

В области сведений дважды щелкните службу, которую требуется настроить, и щелкните Свойства.

На вкладке Общие в разделе Тип запуска выберите Автоматический режим, Вручную, Отключено или Автоматически (отложенный запуск).

Чтобы указать учетную запись пользователя, используемую службой при входе в систему, щелкните вкладку Вход в систему и выполните следующее:

Чтобы указать, что служба должна использовать учетную запись «Локальная система», щелкните С системной учетной записью.

Чтобы указать, что служба должна использовать учетную запись «Локальная служба», щелкните С учетной записью и введите NT AUTHORITY\LocalService.

Чтобы указать, что служба должна использовать учетную запись «Сетевая служба», щелкните С учетной записью и введите NT AUTHORITY\NetworkService.

Чтобы указать другую учетную запись, щелкните С учетной записью, Обзор, затем укажите учетную запись пользователя в диалоговом окне Выбор пользователя. По завершении нажмите кнопку ОК.

Введите пароль учетной записи в полях Пароль и Подтверждение, затем щелкните ОК. Если выбрана учетная запись «Локальная служба» или «Сетевая служба», не вводите пароль.

Чтобы настроить тип запуска службы с помощью командной строки

• Службами также можно управлять с помощью команды sc config. Для получения дополнительных сведений о доступных параметрах откройте окно командной строки и введите sc config /?. Подробное описание параметров командной строки и примеры см. в справочнике по командной строке на странице
• https://go.microsoft.com/fwlink/?linkid=53528 .

Дополнительная информация

• Для выполнения этой процедуры необходимо быть членом группы «Операторы учета», «Администраторы домена» или «Администраторы предприятия» либо получить соответствующие полномочия путем делегирования. При этом по соображениям безопасности рекомендуется использовать команду Run as.

Изменения параметров службы по умолчанию может препятствовать работоспособности ключевых служб. Особенно необходимо быть внимательным при изменении параметров Тип запуска и Запуск от имени тех служб, которые запускаются автоматически.

В большинстве случаев рекомендуется не изменять параметр Разрешить взаимодействие с рабочим столом. Если служба может взаимодействовать с рабочим столом, то любые сведения, отображаемые службой на рабочем столе, также будет отображаться на рабочем столе интерактивных пользователей. Злоумышленник может получить управление службой в свои руки или атаковать ее с интерактивного рабочего стола.

Пароли учетных записей «Local Service» и «Network Service» по умолчанию пустые. Предоставляемые сведения о паролях игнорируются.

Рекомендуется, чтобы у учетных записей, используемых для входа службы в систему, были надежные пароли, а также в диалоговом окне Свойства был установлен флажок Срок действия пароля не ограничен.

Если включена политика блокировки учетных записей и учетная запись заблокирована, то служба не будет запущена.

Если служба включена или отключена и при этом невозможно запустить компьютер, попробуйте запустить его в безопасном режиме. В безопасном режиме ключевые службы, необходимые для запуска операционной системы, запускаются по стандартной схеме, вне зависимости от внесенных изменений параметров службы. После загрузки компьютера в безопасном режиме можно изменить настройки службы или восстановить настройки по умолчанию.

Если указана учетная запись, которая не имеет разрешений на вход в качестве службы, оснастка «Службы» автоматически предоставляет этой учетной записи соответствующие разрешения на управляемом компьютере.

Где хранится сетевой пароль в windows xp и в windows 7

Сейчас хочу сделать мини заметку на тему «сетевой пароль в windows 7 и windows xp«. Ситуация не новая, а давно известная, но когда сегодня столкнулся с ней очень долго вспоминал команду что бы вызвать окно с управлениями паролями, поэтому решил зафиксировать сие действие в блоге (мало ли кто еще не знает это)
Для того что бы вызвать управление сетевыми паролями для windows 7 надо:

1. нажать клавишу WIN(это клавиша с нарисованным флажком windows) + R
2. ввести команду netplwiz
3. перейти на вкладку с паролями и удалить либо изменить его

Для того что бы вызвать управление сетевыми паролями для windows XP надо:

1. нажать Пуск->Выполнить и ввести команду control userpasswords2
2. перейти на вкладку дополнительно
3. и нажать кнопку управление паролями ну а дальше, можете делать что душе угодно 🙂

В этой мини заметке я сделал акцент на сетевых паролях а именно: сетевой пароль, сетевой пароль windows, сетевой пароль windows 7, сетевой пароль xp, сохранить сетевой пароль, управление сетевыми паролями, как убрать сетевой пароль, сброс сетевых паролей, удалить сетевой пароль, сохранение сетевых паролей, где хранятся сетевые пароли, пароль на сетевое подключение, сетевой пароль в windows xp, как сбросить сетевой пароль, windows 7 удалить сетевой пароль, удаление сетевых паролей

Учетные записи службы Service Accounts

Относится к: Applies to

• Windows 10 Windows 10
• Windows Server 2016 Windows Server 2016

В этом разделе для ИТ-специалиста рассказывается о групповых и автономных учетных записях управляемых служб, а также учетной записи виртуального компьютера, а также указывается на ресурсы об этих учетных записях служб. This topic for the IT professional explains group and standalone managed service accounts, and the computer-specific virtual computer account, and it points to resources about these service accounts.

Обзор Overview

Учетная запись службы — это учетная запись пользователя, созданная явно для обеспечения контекста безопасности для служб, работающих на операционных системах Windows Server. A service account is a user account that is created explicitly to provide a security context for services running on Windows Server operating systems. Контекст безопасности определяет возможность службы доступа к локальным и сетевым ресурсам. The security context determines the service’s ability to access local and network resources. Операционные системы Windows используют службы для запуска различных функций. The Windows operating systems rely on services to run various features. Эти службы можно настроить через приложения, службы оснастки или диспетчера задач или с помощью Windows PowerShell. These services can be configured through the applications, the Services snap-in, or Task Manager, or by using Windows PowerShell.

В этом разделе содержатся сведения о следующих типах учетных записей служб: This topic contains information about the following types of service accounts:

Автономные управляемые учетные записи служб Standalone managed service accounts

Учетная запись управляемой службы предназначена для изоляции учетных записей доменов в критически важных приложениях, таких как Службы интернет-информации (IIS), и устранения необходимости администратора вручную управлять главным именем службы (SPN) и учетными данными для учетных записей. A managed service account is designed to isolate domain accounts in crucial applications, such as Internet Information Services (IIS), and eliminate the need for an administrator to manually administer the service principal name (SPN) and credentials for the accounts.

Чтобы использовать управляемые учетные записи службы, сервер, на котором установлено приложение или служба, должен работать по крайней мере Windows Server 2008 R2. To use managed service accounts, the server on which the application or service is installed must be running at least Windows Server 2008 R2. Одна учетная запись управляемой службы может использоваться для служб на одном компьютере. One managed service account can be used for services on a single computer. Управляемые учетные записи служб не могут быть общими между несколькими компьютерами и не могут использоваться в кластерах серверов, где служба реплицируется на нескольких узлах кластера. Managed service accounts cannot be shared between multiple computers, and they cannot be used in server clusters where a service is replicated on multiple cluster nodes. Для этого сценария необходимо использовать учетную запись управляемой службы группы. For this scenario, you must use a group managed service account. Дополнительные сведения см. в обзоре учетных записей управляемых служб группы. For more information, see Group Managed Service Accounts Overview.

В дополнение к усиленной безопасности, которая обеспечивается наличием отдельных учетных записей для критически важных служб, существуют четыре важных административных преимущества, связанные с управляемыми учетными записями служб: In addition to the enhanced security that is provided by having individual accounts for critical services, there are four important administrative benefits associated with managed service accounts:

Можно создать класс учетных записей домена, которые можно использовать для управления и обслуживания служб на локальных компьютерах. You can create a class of domain accounts that can be used to manage and maintain services on local computers.

В отличие от учетных записей доменов, в которых администраторы должны сбросить пароли вручную, сетевые пароли для этих учетных записей автоматически сбрасываются. Unlike domain accounts in which administrators must reset manually passwords, the network passwords for these accounts are automatically reset.

Вам не нужно выполнять сложные задачи управления SPN для использования управляемых учетных записей службы. You do not have to complete complex SPN management tasks to use managed service accounts.

Административные задачи для управляемых учетных записей служб можно делегировать не администраторам. Administrative tasks for managed service accounts can be delegated to non-administrators.

Требования к программному обеспечению Software requirements

Управляемые учетные записи служб применяются к операционным системам Windows, указанным в списке Applies To в начале этого раздела. Managed service accounts apply to the Windows operating systems that are designated in the Applies To list at the beginning of this topic.

Учетные записи управляемых служб группы Group managed service accounts

Учетные записи управляемых служб группы — это расширение автономных управляемых учетных записей служб, которые были введены в Windows Server 2008 R2. Group managed service accounts are an extension of the standalone managed service accounts, which were introduced in Windows Server 2008 R2. Это управляемые учетные записи доменов, которые обеспечивают автоматическое управление паролями и упрощенное управление основным именем службы (SPN), включая делегирования управления другим администраторам. These are managed domain accounts that provide automatic password management and simplified service principal name (SPN) management, including delegation of management to other administrators.

Учетная запись управляемой службы группы предоставляет те же функции, что и автономный управляемый учетной записи службы в домене, но расширяет эту функцию на нескольких серверах. The group managed service account provides the same functionality as a standalone managed service account within the domain, but it extends that functionality over multiple servers. При подключении к службе, которая находится на ферме серверов, например к балансировки сетевых нагрузок, протоколы проверки подлинности, поддерживающий взаимную проверку подлинности, требуют, чтобы все экземпляры служб использовали один и тот же принцип. When connecting to a service that is hosted on a server farm, such as Network Load Balancing, the authentication protocols that support mutual authentication require all instances of the services to use the same principal. Когда учетные записи управляемых служб группы используются в качестве основных служб, операционная система Windows Server управляет паролем для учетной записи, а не полагаться на администратора для управления паролем. When group managed service accounts are used as service principals, the Windows Server operating system manages the password for the account instead of relying on the administrator to manage the password.

Служба распространения ключей Майкрософт (kdssvc.dll) предоставляет механизм безопасного получения последнего ключа или определенного ключа с ключевым идентификатором для учетной записи Active Directory. The Microsoft Key Distribution Service (kdssvc.dll) provides the mechanism to securely obtain the latest key or a specific key with a key identifier for an Active Directory account. Эта служба была представлена в Windows Server 2012 и не работает на предыдущих версиях операционной системы Windows Server. This service was introduced in Windows Server 2012, and it does not run on previous versions of the Windows Server operating system. Служба рассылки ключей делится секретом, который используется для создания ключей для учетной записи. The Key Distribution Service shares a secret, which is used to create keys for the account. Эти ключи периодически меняются. These keys are periodically changed. Для учетной записи управляемой службы группы контроллер домена вычисляет пароль на ключе, предоставляемом службами рассылки ключей, в дополнение к другим атрибутам учетной записи управляемых служб группы. For a group managed service account, the domain controller computes the password on the key that is provided by the Key Distribution Services, in addition to other attributes of the group managed service account.

Практическое применение Practical applications

Учетные записи управляемых служб группы предоставляют единое решение удостоверений для служб, работающих на ферме серверов или в системах, которые используют балансировку сетевых нагрузок. Group managed service accounts provide a single identity solution for services running on a server farm, or on systems that use Network Load Balancing. Предоставляя групповое управляемое решение учетной записи службы, можно настроить службы для основной учетной записи управляемых служб группы, а управление паролями обрабатывается операционной системой. By providing a group managed service account solution, services can be configured for the group managed service account principal, and the password management is handled by the operating system.

С помощью учетной записи управляемых служб группы службам или администраторам служб не требуется управлять синхронизацией паролей между экземплярами служб. By using a group managed service account, services or service administrators do not need to manage password synchronization between service instances. Учетная запись управляемой службы группы поддерживает хосты, которые находятся в автономном режиме в течение длительного периода времени, а также управление хостами-членами для всех экземпляров службы. The group managed service account supports hosts that are kept offline for an extended time period and the management of member hosts for all instances of a service. Это означает, что вы можете развернуть ферму серверов, поддерживаюющую одно удостоверение, к которому существующие клиентские компьютеры могут проверить подлинность, не зная экземпляра службы, к которой они подключаются. This means that you can deploy a server farm that supports a single identity to which existing client computers can authenticate without knowing the instance of the service to which they are connecting.

Кластеры неудачной работы не поддерживают учетную запись управляемых служб группы. Failover clusters do not support group managed service account s. Однако службы, которые работают поверх службы кластера, могут использовать учетную запись управляемой службы группы или автономную учетную запись управляемой службы, если они являются службой Windows, пулом приложений, запланированной задачей или если они поддерживают учетную запись управляемой службы группы или автономные управляемые учетные записи служб. However, services that run on top of the Cluster service can use a group managed service account or a standalone managed service account if they are a Windows service, an App pool, a scheduled task, or if they natively support group managed service account or standalone managed service accounts.

Требования к программному обеспечению Software requirements

Учетные записи управляемых служб группы можно настроить и вводить только на компьютерах с windows Server 2012, но они могут быть развернуты в качестве единого решения идентификации службы в доменах, где контроллеры доменов работают с операционными системами раньше Windows Server 2012. Group managed service accounts can only be configured and administered on computers running at least Windows Server 2012, but they can be deployed as a single service identity solution in domains that still have domain controllers running operating systems earlier than Windows Server 2012. Требования к функциональному уровню домена или леса не предъявляются. There are no domain or forest functional level requirements.

Для запуска команд Windows PowerShell, используемых для администрирования учетных записей управляемых служб группы, требуется 64-битная архитектура. A 64-bit architecture is required to run the Windows PowerShell commands that are used to administer group managed service accounts.

Учетная запись управляемой службы зависит от типов шифрования, поддерживаемых Kerberos. A managed service account is dependent on encryption types supported by Kerberos. При проверке подлинности клиентского компьютера на сервер с помощью протокола Kerberos контроллер домена создает билет службы Kerberos, защищенный с помощью шифрования, поддерживаемого контроллером домена и сервером. When a client computer authenticates to a server by using Kerberos protocol, the domain controller creates a Kerberos service ticket that is protected with encryption that the domain controller and the server support. Контроллер домена использует атрибут msDS-SupportedEncryptionTypes учетной записи, чтобы определить, какое шифрование поддерживает сервер, и если атрибута нет, предполагается, что клиентский компьютер не поддерживает более сильные типы шифрования. The domain controller uses the account’s msDS-SupportedEncryptionTypes attribute to determine what encryption the server supports, and if there is no attribute, it assumes that the client computer does not support stronger encryption types. Расширенный стандарт шифрования (AES) всегда должен быть явно настроен для управляемых учетных записей службы. The Advanced Encryption Standard (AES) should always be explicitly configured for managed service accounts. Если компьютеры, на которые установлена учетная запись управляемой службы, настроены на то, чтобы не поддерживать RC4, проверка подлинности всегда будет неудачной. If computers that host the managed service account are configured to not support RC4, authentication will always fail.

Примечание. Note
По умолчанию Windows Server 2008 R2 стандарт шифрования данных (DES). Introduced in Windows Server 2008 R2, the Data Encryption Standard (DES) is disabled by default. Дополнительные сведения о поддерживаемых типах шифрования см. в сообщении Changes in Kerberos Authentication. For more information about supported encryption types, see Changes in Kerberos Authentication.

Учетные записи управляемых служб группы не применяются в операционных системах Windows до Windows Server 2012. Group managed service accounts are not applicable in Windows operating systems prior to Windows Server 2012.

Виртуальные учетные записи Virtual accounts

Виртуальные учетные записи были Windows Server 2008 R2 и Windows 7 и управляются локальными учетами, которые предоставляют следующие функции для упрощения администрирования служб: Virtual accounts were introduced in Windows Server 2008 R2 and Windows 7, and are managed local accounts that provide the following features to simplify service administration:

Виртуальная учетная запись управляется автоматически. The virtual account is automatically managed.

Виртуальная учетная запись может получить доступ к сети в среде домена. The virtual account can access the network in a domain environment.

Управление паролем не требуется. No password management is required. Например, если значение по умолчанию используется для учетных записей службы во время SQL Server установки Windows Server 2008 R2, виртуальная учетная запись, использующая имя экземпляра в качестве имени службы, устанавливается в формате NT SERVICE\ . For example, if the default value is used for the service accounts during SQL Server setup on Windows Server 2008 R2, a virtual account that uses the instance name as the service name is established in the format NT SERVICE\ .

Службы, которые работают как виртуальные учетные записи, используют сетевые ресурсы с помощью учетных данных учетной записи компьютера в домене \ $. Services that run as virtual accounts access network resources by using the credentials of the computer account in the format \ $.

Сведения о настройке и использовании учетных записей виртуальных служб см. в руководстве Пошаговая руководство по службам. For information about how to configure and use virtual service accounts, see Service Accounts Step-by-Step Guide.

Требования к программному обеспечению Software requirements

Виртуальные учетные записи применяются к операционным системам Windows, указанным в списке Applies To в начале этого раздела. Virtual accounts apply to the Windows operating systems that are designated in the Applies To list at the beginning of this topic.

См. также See also

В следующей таблице приводится ссылка на дополнительные ресурсы, относящиеся к автономным управляемым учетным записям служб, учетным записям управляемых служб группы и виртуальным учетным записям. The following table provides links to additional resources that are related to standalone managed service accounts, group managed service accounts, and virtual accounts.