executar como “NT AUTHORITY \ SYSTEM” é ideal para tarefas agendadas?

3

Eu tenho um processo de backup / atualização automática para o meu software, e normalmente eu crio um novo usuário para executá-lo no agendador de tarefas (a maioria dos usuários não tem uma senha e o agendador de tarefas precisa disso, não sei por quê).

Então eu vi que o google chrome instala sua tarefa de atualização automática para ser executado como "NT AUTHORITY \ SYSTEM", eu testei e funciona muito bem com meus programas também, e parece mais limpo,

existem algumas desvantagens ocultas aqui que não estou vendo?

Obrigado!

    
por pragmatic_programmer 14.01.2012 / 16:40

1 resposta

5

Minha recomendação

Para uma única máquina, o método mais direto é criar uma conta no grupo Builtin Backup Operators .

Existem duas grandes desvantagens que inicialmente vêm à mente ao executar programas em SYSTEM .

Segurança

Quase sempre a maior razão pela qual os administradores criam contas discretas para processos agendados é monitorá-los e conceder-lhes acesso que normalmente não seriam concedidos a um aplicativo em execução típico. Neste caso, ele precisa de acesso de leitura a todos os arquivos e precisa de acesso de gravação ao seu local de armazenamento de backup, o que tenderá a ter acesso mais restrito.

Para dar qualquer programa que seja executado como SISTEMA equivale a executá-los como um administrador mais ou menos, garantindo assim mais privilégios do que o necessário. Há um grupo de operadores de backup embutido por esse motivo.

UAC

A conta SYSTEM às vezes é confundida pelos usuários como uma conta SuperUser ou root . Não é nenhum dos dois. É usado internamente pelo Windows. Nunca foi destinado a ser usado por programas, a menos que o programa o especifique. Dito isso, há bugs desconhecidos que se manifestam se um programa não foi desenvolvido para a conta SYSTEM . Por um lado, observe que não há senha de usuário para isso. Nem é realmente uma conta de usuário se você tentar autenticar remotamente.

Anecdotally , UAC também joga estragos com programas que são executados no contexto do sistema. Eu vi programas mal escritos em linha reta até uma caixa de diálogo pedindo ao usuário para "executar como administrador". Vá a figura.

Também há uma postagem no blog do MSDN que me ocorre que não consigo descobrir que o autor passou um dia inteiro depurando o SQL Server na máquina de um cliente. Nova instalação. . . ou assim eles pensaram. Acontece que, um determinado componente do próprio sistema operacional foi mudado de NT AUTHORITY \ NETWORK SERVICE para SYSTEM, sob o pretexto de que ele tinha um mais permissões e privilégios do que qualquer outra conta. Pelo contrário, apenas tem diferentes.

    
por 14.01.2012 / 17:45