Windows 服务帐户密码重置

Windows 服务帐户是系统程序用于运行应用程序服务或进程的帐户。与普通用户帐户不同，这些帐户通常拥有提升的权限，因此一旦遭到入侵，后果将极其严重。由于许多第三方服务、计划任务或进程可能共享一个服务帐户，如果管理不当，依赖关系可能会变得复杂且风险极高。

在大多数企业环境中，需要网络访问权限的 Windows 服务通常会配置专用的 Windows 域账户。PAM360 通过自动发现与域账户关联的服务，简化了此类账户的管理。当 PAM360 中管理的域账户密码轮换时，PAM360 会识别所有与该账户相关联的服务，并自动更新服务账户密码。

在某些情况下，需要重启服务才能使轮换后的密码生效。PAM360 的 Windows 服务账户密码重置功能可自动化整个过程，在强制执行安全密码规范的同时，确保关键服务持续无缝运行。

本文档详细介绍了以下内容：

1. 先决条件
2. 工作流
3. 配置服务账户密码重置
4. 查看服务帐户状态

1. 先决条件

在使用 PAM360 的 Windows 服务账户密码重置功能之前，请确保服务运行的目标 Windows 服务器满足以下先决条件：

1. 软件要求
   • Microsoft .NET Framework 4.5.2 或更高版本
   • Microsoft Visual C++ 2015 再发行包
2. 此外，请确保以下服务正在运行：
   • Windows RPC 服务
   • Windows 管理仪器 (WMI) 服务 - PAM 服务器与成员服务器及域控制器之间的 WMI 连接

这些组件是 PAM360 与目标服务器建立安全连接，并在相关域账户密码重置后成功更新服务账户配置所必需的。

2. 工作流

当域账户密码轮换时，PAM360 会自动检测相关成员服务器上所有在此账户下运行的 Windows 服务。随后，它将与每台服务器建立安全连接，使用新密码更新 Windows 服务控制管理器 (SCM) 中存储的凭据，并重启或同步服务以确保更改成功应用。

为确保此过程顺畅运行，请将运行相关服务的所有成员服务器添加到静态资源组中，并将该资源组与相应的域账户关联。此配置可使 PAM360 在域账户密码重置时自动更新所有相关 Windows 服务的凭据。

在将包含运行服务账户的成员服务器的资源组与域账户关联之前，请确保已完成以下配置：

1. 域控制器已作为 Windows 域资源添加到 PAM360 中。若未添加，请按照此 链接中的步骤将其添加为资源。
2. 将服务所使用的域管理员账户凭据添加到 Windows 域资源中。请参阅此 链接 了解将账户添加到资源的详细步骤。
3. 已为 Windows 域资源配置了远程密码重置功能。请点击此 链接 以了解为 Windows 域资源配置远程密码重置的详细步骤。
4. 所有运行服务账户的成员服务器均已作为资源添加到 PAM360 中。
5. 所有成员服务器均已添加到一个静态资源组中。点击此 链接 以将资源添加到静态组中。

3. 配置服务账户密码重置

请按照以下步骤将包含服务运行成员服务器的资源组与域账户关联，以便在域账户密码轮换时，服务账户配置中存储的凭据能自动更新：

1. 导航至“资源”选项卡，并点击 Windows 域资源。
2. 在弹出的“帐户详细信息”窗口中，点击域管理员帐户旁边的“操作”图标，并从显示的选项中选择“编辑帐户”。
3. 在弹出的“编辑账户”窗口中，在“为此服务账户关联资源组”下，点击包含正在运行服务的成员服务器的目标资源组，然后点击右箭头按钮。
   
4. 如果您希望 PAM360 在密码更新后立即重启 Windows 服务，请勾选“重启”复选框。
5. 选中您在“Windows 域”资源中添加的服务帐户的复选框，然后单击“保存”。
6. 要验证关联的服务，请选择一个账户，然后转到“服务账户”>>“受支持的服务账户”。在此处，您将看到使用此域账户作为登录账户的服务列表。当您重置域账户密码时，新密码将在远程计算机上的关联服务中更新。

在某些情况下，可能需要在重置域账户密码期间停止并重启服务。对于此类情况，您可以配置 PAM360，使其在域账户密码轮换后等待特定时间间隔再重启服务。请按照以下步骤进行配置：

1. 导航至“管理”>>“自定义”>>“常规设置”。
2. 在“常规设置”页面中，从左侧窗格选择“密码重置”，并勾选“在停止和启动服务之间等待指定时间（以秒为单位）”复选框。
3. 默认情况下，PAM360 会在重启服务前等待 60 秒。您可以根据需求在此字段中输入以秒为单位的时长来修改此设置。
4. 点击“保存”以保存配置的更改。

4. 查看服务账户状态

对于任何已启用服务账户密码重置功能的 Windows 域账户，您可以查看相关服务账户和计划任务的详细信息，以及在域账户密码重置期间其密码是否已被轮换。请按照以下步骤查看服务账户的状态：

1. 导航至“资源”选项卡，并点击所需的 Windows 域资源。
2. 在弹出的“帐户详细信息”窗口中，选择您想要了解服务帐户密码重置状态的目标域帐户，然后点击顶部窗格中的“服务帐户”按钮。
3. 在弹出的窗口中，切换至“服务账户状态”选项卡，即可查看所有相关服务账户的状态以及相关详细信息，例如服务名称、服务运行的资源、其状态和时间戳。