WinCollect 仮想アカウント

仮想アカウントとは何ですか?

以前のバージョンの WinCollect 10 では、エージェントは LocalSytem 組み込みユーザーとして実行されます。 これが最初に行われたのは、 WinCollect がイベント・ログとサービス自体を適切にモニターするために必要な広範なアクセス権限があるためです。 アプリケーションの構成可能性を高め、最小限の特権のベスト・プラクティスに対応するために、 WinCollect はより最新のアプローチに移行しています。

仮想アカウントの概念は Windows 7 で導入されました。 これらのアカウントは、 NT AUTHORITY\Network Service や LocalServiceなどの他の組み込みアカウントと同じように機能しますが、いくつかの追加機能があります。 ただし、 WinCollect には追加のアクセス権限が必要です。これらのアカウントを変更すると、そのアカウントを使用する他のアプリケーションまたはサービスのアクセス権限も変更されます。 仮想アカウントは完全にカスタマイズ可能なサービス・アカウントであり、変更することで、機能するために必要な特権の数を最小限にすることができます。 ユーザー権限、アクセス許可、およびローカル・グループの独自のカスタム・セットをセットアップして、よりカスタマイズしたセキュリティー・エクスペリエンスを提供できるようになりました。

通常、この更新により、ユーザーには気付かれないアプリケーション・セキュリティーが大幅に改善されます。 WinCollect が LocalSystem ユーザーを使用しなくなったことと、追加された構成オプションにより、エージェントが存在する環境に基づいて独自のエージェントをカスタマイズすることができます。 インストーラーは、ほとんどのユーザーが必要とするすべての詳細を処理します。

• NT SERVICE\WinCollect 仮想アカウントを使用するように WinCollect エージェント・サービスをセットアップします。
• サービス制御やログ監査などを処理するための適切なユーザー権限を仮想アカウントに付与する。
• ロギングおよび構成のために、仮想アカウントを WinCollect フォルダー構造に組み込むためのファイル許可を追加します。
• ローカル・アプリケーション・ソースをモニターするための Event Log Readers グループへの仮想アカウントの追加。
• 仮想アカウントを Administrators グループに追加するかどうかをユーザーに選択させます。
• WinCollect がアンインストールされたときに、以前の許可をクリーンアップする。
• 上記のオプションのいずれかが変更され、既知の状態にリセットする必要がある場合に、完全な修復を実行する機能を提供します。

ここでは、実装に関するその他の質問や、独自の環境に対して作成する可能性があるツイートに回答するための追加ステップを説明します。

管理者グループにオプションが追加される理由

WinCollect インストーラーの新規オプションの 1 つに、作成した仮想アカウントを Administrators ローカル・グループに追加するかどうかを選択する機能があります。 この選択は、アップグレードまたはインストールをスムーズに行うために必要です。

仮想アカウントのカスタマイズ方法

仮想アカウントによるコマンド・ライン・インストールの変更方法

コマンド行インストールでは、有効なインストールのために追加のフラグが必要になりました。 ADMIN_GROUP フラグは、 true または falseのいずれかに設定できます。ここで、 true は仮想アカウントを Administrators ローカル・グループに追加します。 このフラグは、インストーラーをカスタム・モードで実行すると、コピー可能テキスト・ブロックに表示されます。

ドメイン・コントローラー

ドメイン・コントローラーにインストールされている WinCollect エージェントは、ローカル仮想アカウントを使用するように構成することはできません。これは、ドメイン・コントローラーがローカル・アカウントの使用を許可していないためです。 したがって、 WinCollect はインストールされ、 LocalSystem アカウントとして実行されるように構成されます。 セキュリティー上の理由から、 WinCollect サービス用に別個のアカウントを作成し、それをインストール時に ACCOUNT_NAME フラグを使用して指定することをお勧めします。

別のアカウントを使用して WinCollectを実行する

インストールのデフォルト・オプションでは、 ADMIN_GROUP フラグを指定して仮想アカウントを使用します。 ドメイン・コントローラーでは、 ADMIN_GROUP フラグは必須ではなく、デフォルトのアカウントは代わりに LocalSystem アカウントです。 可能な場合は常に仮想アカウントを使用することをお勧めしますが、ドメイン・コントローラーの場合、または別個のサービス・アカウントを使用する必要がある場合は、ユーザーに別個のアカウントを指定するオプションを提供します。 これを行うには、インストール時に <Domain>\<Account name>の形式で ACCOUNT_NAME オプションを指定します。 ドメインおよび円記号 (¥) は、必要ない場合は省略できます。 使用されるアカウントは、サービスとしてログオンするための許可を持っている必要があり、ログオンするためにパスワードを必要としません。 管理対象サービス・アカウントまたはグループ管理対象サービス・アカウントを使用することをお勧めします。

セットアップ中に、指定されたアカウントに、必要なフォルダーに対する許可が付与されます。 ただし、アカウントはどのグループにも追加されません。 WinCollect 固有のフォルダー以外のフォルダーへのアクセスが必要な場合は、アカウントを手動でローカル管理者グループに追加する必要があります。また、セキュリティー・チャネルへのアクセスが必要な場合は、ローカル・イベント・ログ・リーダー・グループに追加する必要があります。

よくある質問