Apa gunanya akun layanan?

Di tempat kerja mereka ingin saya membuat akun layanan untuk menjalankan kumpulan aplikasi untuk aplikasi web saya di iis di bawah.

Mengapa ini berguna dan / atau perlu?

Ini memberi aplikasi Anda akun tertentu yang dengannya Anda dapat mengatur keamanan. Biasanya proses akan berjalan sebagai akun pengguna IIS, dan karenanya memiliki semua hak istimewa yang terkait dengan akun itu. Dengan membuat akun hanya untuk aplikasi itu, Anda dapat menetapkan hak atas akun layanan itu hanya untuk sumber daya yang dibutuhkannya. Ini secara signifikan mengurangi kemungkinan siapa pun mengeksploitasi aplikasi Anda, dan mengurangi kemungkinan aplikasi Anda memiliki efek buruk pada beberapa bagian dari sistem yang seharusnya tidak dapat diakses.

Akun layanan digunakan untuk dua hal: Isolasi dan audit.

Isolasi memungkinkan Anda untuk memberikan hak minimal yang diperlukan untuk layanan ke akun layanan, memastikan bahwa meskipun penyerang mengeksploitasi layanan dan mendapatkan akses sistem lokal, kemampuannya untuk melakukan kerusakan lebih lanjut terbatas. Bahkan dalam kasus di mana seorang penyerang bukan kekhawatiran isolasi mencegah layanan buggy dari mempengaruhi layanan lain.

Audit dapat dibantu oleh akun layanan karena setiap tindakan yang diambil oleh layanan yang berbeda akan dicatat sebagai berasal dari pengguna yang berbeda, membuat membedakan satu layanan yang berperilaku buruk dari yang lain yang bekerja dengan benar lebih mudah.

Meskipun ini adalah kegunaan utama untuk akun layanan ada yang lain, seperti penyempurnaan kinerja. Menjalankan setiap layanan sebagai pengguna yang berbeda memungkinkan Anda untuk menggunakan alokasi sumber daya per-pengguna yang ada untuk mengontrol sumber daya yang tersedia untuk layanan.

Saya menganggap kebijakan wajib per akun layanan per layanan untuk sistem apa pun yang berharap aman.

Pada dasarnya: Jika aplikasi rusak, maka kerusakan yang dapat dilakukannya hanya terbatas pada file yang dimiliki atau dapat ditulis oleh pengguna tersebut. Juga, jika aplikasi dikompromikan, maka pembatasan yang sama berlaku untuk data yang dapat diakses melaluinya.

Pada prinsipnya, setiap item perangkat lunak hanya dapat mengakses sumber daya yang dibutuhkan dan tidak ada yang lain. Secara alami, selalu ada penyederhanaan dan kompromi, tetapi menjalankan aplikasi web di bawah akunnya sendiri adalah salah satu langkah utama penerapan ini.