Por que a conta de serviço, como Serviço Local, Serviço de Rede ou Sistema Local, não pode ser gerenciada em um nível de domínio?

Question

Eu li de aqui que:

On a local computer, an administrator can configure the application to run as Local Service, Network Service, or Local System. These service accounts are simple to configure and use but are typically shared among multiple applications and services and cannot be managed on a domain level.

Eu não entendo por que essas contas não podem ser gerenciadas em um nível de domínio, já que todas elas têm SIDs conhecidos?

Obrigado pelo seu tempo.

    

Answer 1

Estes são "SIDs universais conhecidos"; eles são os mesmos para todas as máquinas e não têm o componente "identificador de domínio", portanto, não podem ser associados a nenhum domínio específico. (Se o fizessem, juntar uma máquina a um domínio quebraria muito de coisas, particularmente ACLs.)

Por exemplo, um SID de usuário normal se parece com S-1-5-21-2814603912-1974576649-1524133500-1001 .

Aqui, 21 é SECURITY_NT_NON_UNIQUE, 2814603912-1974576649-1524133500 é o identificador de domínio e 1013 é o ID relativo.

Em comparação, LOCAL SYSTEM tem o SID S-1-5-18 .

FWIW, essas três contas não são contas reais no SAM . Eles são predefinidos no próprio Windows.