web-dev-qa-db-ja.com

「NT AUTHORITY」および「NT SERVICE」とは

"NT AUTHORITY" slash "something"について多くの情報を見つけることができます。 「NTサービス」も同様です。ただし、スラッシュの前の部分は対象外です。私は仕事で時々それらに遭遇します。たとえば、これらの2つの「場所」（NT AUTHORITY\SYSTEMまたはNT SERVICE\MSSQLSERVER）のユーザーが含まれる場合があるDomain Admins。だから私は彼らがある種の標準ユーザーであることを理解しています。

だから私は実際にスラッシュの前にそのコアなものは何であるかを理解したいと思います。どうやらWindows NTに接続されていないように見えますか？これらの「NT」文字は一体何ですか？機関とサービスは同じレベルのものですか？

windowssql-serverwindows-server
12
ZygD

定義を少し速く、緩やかにしたい場合、NT_AUTHORITYは基本的にWindowsオペレーティングシステム自体を指します。あるいは、「OSがユーザーに代わって許可するもの」のようです。

（当初、NTは、一般に企業向けのOSのバージョンであるNew Technologyを意味していました。これは、Windows 98、98以前のバージョンで使用されているそれほど厳密でなく安全性の低いWindows 9.xカーネルとは対照的でした。Windows2000以降、さまざまなバージョンがWindows NT 4ベースのバージョンに統合されました。これらは最終的にWindows Vista、7、8.x、そして間もなくリリースされる10に成長しました。

「NT」トークンは、基本的には以前から残っているレガシートークンです。 Windows自体の代理と考えることができます。より公式には、バックグラウンドタスクとメンテナンス操作を処理する一連のサービスユーザーの親です。

スラッシュの右側のトークンは、OSの個々の内部サービス「ユーザー」を指します。たとえば、NT AUTHORITY\SYSTEMはシステムサービスを処理し、NT AUTHORITY\LOCAL SERVICEはローカルサービスを実行し、NT AUTHORITY\NETWORK SERVICEはネットワークサービスです。等々。 このスレッド と MSDNのさまざまな場所 で、より多くの背景を見つけることができます。好みの検索エンジンをクリエイティブに使用すると、さらに多くを見つけることができます。

本質的に同じものはサービスに代わって実行されます。これは（本質的に）バックグラウンドで実行されるユーティリティです。 （BITSサービス、たとえば、更新はバックグラウンドでダウンロードされます。）実行されるサービスは非常に多く、トークンNT_SERVICEは他のものと区別する方法として使用されます。ここでは 記事 それはもう少し技術的な詳細になります（ただし、サービスの目的が正確にわからない限り、サービスをオフにすることはありません。これは、物事をうまく進めるための良い方法です。）

12
Lance Leonard

より技術的な説明：

Windows ACL（アクセス制御リスト）では、権限は trustees -ユーザー、グループ、またはその他のセキュリティプリンシパルに適用されます。

トラスティは SIDs で一意に識別されます。これは S-1-で始まる文字列 であり、NT AUTHORITY\SYSTEMのS-1-5-18などの人間が読める文字列としてフォーマットできます。

このWindows NTの設計を思いついた人は誰でもそれを作ることを目指していた むしろ汎用 ：

意味のあるユニバーサルな既知のSIDがありますこのセキュリティモデルを使用するすべてのセキュリティで保護されたシステムではWindows以外のオペレーティングシステムを含む。さらに、Windowsシステムでのみ意味のある既知のSIDがあります。

彼らは、「Everyone」を意味する1つのSID SECURITY_WORLD_SID_AUTHORITYのみを生成するS-1-0（S-1-1-0）のようないくつかの普遍的な権限を考え出しました。しかし、使用中のSIDの大部分はS-1-5で始まります-NTのオペレーティングシステムでSIDを生成するために使用される"NT Authority"のプレフィックス（つまり すべての最新のWindowsバージョン ）。

この時点で、S-1-5-...で始まるSIDがNT AUTHORITY\として表示されていると想定するかもしれませんが、そうではありません。多くのサブブランチには、人間が読める形式の独自のプレフィックスがあります。

  • S-1-5-21-domainID-はカスタムActiveDirectoryドメイン用です（MYDOMAIN\...）
  • S-1-5-32はBUILTIN\です（例：-544の場合はBUILTIN\Adminitrators）
  • S-1-5-80-serviceHashはNT SERVICE\(service name)用です

他の名前でグループ化されていない既知のSIDは、NT AUTHORITY\プレフィックス付きで表示されることがあります。例：

したがって、「NT AUTHORITY」という名前は、Windowsで使用されているセキュリティサブシステムの極端な一般性の成果物であり、「より具体的なグループを考え出さなかった」以外の意味はありません。

NT SERVICE\（S-1-5-80-...） は "virtual accounts"に使用されるプレフィックスです。 MyServiceという名前のサービスを実行するアカウントを指定する場合、パスワードなしで「NT SERVICE\MyService」と入力すると、別のセキュリティコンテキストで実行され、他の場所で権限を設定できます。

3
Nickolay