Active Directory에서 사용자와 서비스 계정 구별

질문

AD Service Accounts에서 구별 할 수있는 "올바른"/ 표준 방법이 User Accounts있습니까?

더 많은 정보

특정 시나리오에서는 AD 자격 증명 (예 : 서비스 계정)으로 시스템을 실행합니다. 이 서비스 계정은 사용자 계정과 동일한 방식으로 만들어집니다. 유일한 차이점은 이름과 설명입니다. 두 가지 계정 유형 (예 : "서비스 계정"이 설명에있는 경우 계정이있는 OU, "암호가 만료되지 않는지 여부"가 활성화되어 있는지 여부)을 구별하기 위해 몇 가지 사항을 수행했지만 어떤 규칙도 없습니다. 두 가지를 명확하게 구분하기 위해 모든 것에 적용 할 수 있습니다.

앞으로 우리는 구별을 명확하게하기 위해이 / 봄 깨끗한 것들을 개선하기 위해 노력하고 있습니다. 이 목적으로 OU 및 설명 필드를 모두 사용할 것입니다.

이 작업을 수행하기 전에 확인하고 싶었습니다. 이것이 행해지는 방법이다. 즉,이 목적을 위해 특별히 정의 된 속성 (Person과 다른 objectCategory 값일까요?) 또는 인정 된 표준 명명 규칙입니까?

active-directory ldap best-practices

— 존 베반
소스

참고로 서버 2012를 사용하는 경우 실제로 관리 서비스 계정을 만들 수 있습니다. 가능하면이 technet.microsoft.com/en-us/library/hh831451.aspx

— Drifter104

쉽게 식별 할 수있는 관리 서비스 계정을 사용할 수있을 것입니다. - blogs.technet.com/b/askds/archive/2009/09/10/...

— joeqwerty

둘 다 고마워 @ Drifter104 참고 : Windows Server 2008 R2에서 MSA를 사용할 수있게 된 것 같습니다. technet.microsoft.com/ko-kr/library/dd560633(v=ws.10).aspx

— JohnLBevan 2016 년

@JohnLBevan MSA는 2008 R2에서 사용 가능해졌지만 2012 년에 gMSA (Group Managed Service Accounts)가되면서 개선되어 기존 MSA의 많은 제한이 제거되었습니다.

— Ryan Ries

@RyanRies는 MS가 applicationProcess를 사용합니까?

— Braiam

답변:

나는 '공식적인'표준으로 해석 될 수있는 것을 본 적이 없다. 내가 일반적으로 한 것은 표준 명명 접두사를 사용하고 OU에 유지하는 것입니다. 설명 필드 또는 부서 필드를 사용하여 쉽게 정렬 / 선택할 수 있습니다.

— 미스터 스미스
소스

이 문제에 대한 "공식적인"솔루션이나 "이것은 서비스 계정입니다"를 전달하는 특정 AD 특성이 없습니다. 다양한 장소는 OU, 그룹, 설명, 이름 접두사 등을 포함 할 수있는 다양한 기술을 사용합니다. 서비스 계정은 사용자 계정과 동일한 개체입니다.

— 마시모
소스

Microsoft Active Directory는 프로그래밍 언어가 "클래스"를 정의 할 수있는 것처럼 objectCategory 속성을 사용합니다. 기본적으로 사용자에게는 "objectCategory = CN = 사람, CN = 스키마, CN = 구성, DC = mydomain, dc = com"이 있습니다. account 또는 posixAccount와 같은 다른 DN으로이를 대체 할 수 있습니다.

— 팀 노 박지
소스