É possível que uma tarefa agendada seja executada como SERVIÇO DE REDE?

Question

É muito simples configurar uma tarefa para ser executada como um SISTEMA, mas ao configurá-la para SERVIÇO DE REDE ela exibe a mensagem de erro "Acesso negado".

Existe alguma maneira de fazer isso funcionar? (O problema é que não quero criar um novo usuário de domínio para essa tarefa e preciso acessar um compartilhamento remoto a partir dessa tarefa.)

    

Answer 1

Eu fiz esta mesma pergunta . Felizmente, o RyanRies conseguiu fornecer uma resposta correta .

No Windows Server 2003 você não pode executar uma tarefa agendada como NT AUTHORITY\NetworkService (também conhecido como Conta do Serviço de Rede . Esse recurso foi adicionado apenas com o Agendador de Tarefas 2.0, que existe apenas no Windows Vista / Windows Server 2008.

Chatter de bônus

• Conta LocalService é uma conta interna com privilégios limitados no computador local e acessa a rede como anônimo . Você deve usar essa conta para executar suas tarefas agendadas
• NetworkService Conta é uma conta interna com privilégios limitados no computador local e acessa a rede como a máquina (por exemplo, VADER$ ). Você pode usar essa conta para executar suas tarefas agendadas se precisar de acesso de rede autenticado
• Conta do Sistema Local é uma conta interna com extensos privilégios no computador local. Você deve nunca usar essa conta para executar tarefas agendadas

Answer 2

Você não pode. A funcionalidade foi introduzida no Agendador de Tarefas 2.0, o que significa Vista / 2008 +.

Na documentação do Schtasks.exe:

/RU username

A value that specifies the user context under which the task runs. For the system account, valid values are "", "NT AUTHORITY\SYSTEM", or "SYSTEM". For Task Scheduler 2.0 tasks, "NT AUTHORITY\LOCALSERVICE", and "NT AUTHORITY\NETWORKSERVICE" are also valid values.

link :

    

Answer 3

Eu tentei fazer isso de várias maneiras, mas agora não acho possível. Eu ficaria feliz em ficar corrigido sobre isso, mas eu tentei tudo o que eu poderia pensar, incluindo a adição de NETWORK SERVICE a Administrators , aprimorando todos os tipos de configurações da Política de Segurança Local, etc.

Quando habilito a auditoria, recebo isso:

Event Type:     Failure Audit
Event Source:   Security
Event Category: Account Logon 
Event ID:       680
Date:           02/03/2010
Time:           8:49:53 PM
User:           NT AUTHORITY\SYSTEM
Computer:       RESULTANT
Description:
Logon attempt by: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
 Logon account:  NETWORK SERVICE
 Source Workstation: RESULTANT
 Error Code: 0xC0000064

Event Type:     Failure Audit
Event Source:   Security
Event Category: Logon/Logoff 
Event ID:       529
Date:           02/03/2010
Time:           8:49:53 PM
User:           NT AUTHORITY\SYSTEM
Computer:       RESULTANT
Description:
Logon Failure:
     Reason:        Unknown user name or bad password
     User Name:     NETWORK SERVICE
     Domain:        NT AUTHORITY
     Logon Type:    4
     Logon Process: Advapi  
     Authentication Package: Negotiate
     Workstation Name:       RESULTANT

0xC0000064 decodifica para NO_SUCH_USER . Isso é um pouco bobo, considerando que eu inseri apenas network service - como ele sabia que a conta que falhou estava em NT AUTHORITY ?

Quando eu insiro um nome de usuário inválido, nem vejo a tentativa de autenticação. Então, claramente, algo concorda que NETWORK SERVICE é uma conta real.

Se eu botar a senha para um nome de usuário conhecido (ou seja, Administrator ), obtenho 0xC000006A ( STATUS_WRONG_PASSWORD ).

Tente adicionar o direito Log on as a batch job a NETWORK SERVICE . Eu acho uma ideia boba; você deve simplesmente morder a bala e criar uma conta de domínio ...

    

Answer 4

Tente adicionar o direito "Fazer logon como um serviço" à conta de serviço de rede. Instruções detalhadas aqui

    

Answer 5

Serviço de Rede é uma conta local (computador). Portanto, nunca terá direitos em outro computador (onde a ação reside).

Se você quiser acessar um compartilhamento em rede, precisará usar uma conta que seja conhecida na rede, portanto, use uma conta de domínio. E o serviço que você deseja executar DEVE suportar o endereçamento UNC. Se precisar de acesso à letra da unidade de rede, você precisará de uma sessão de usuário com unidades mapeadas; caso contrário, isso também falhará.

(Suponho que você já saiba disso, olhando a data do seu post. Minha resposta é apenas um extra para as pessoas que encontrarem este post com um problema semelhante)

Kees