A service account is a special user

A service account is a special user account that an application or service uses to interact with the operating system. Services use the service accounts to log on and make changes to the operating system or the configuration. Through permissions, you can control the actions that the service can perform. The following table identifies categories of service accounts.

Account

Type

Description

Built-in local user account

A built-in user account is a user account that is created automatically during installation. The following three built-in user accounts are used by most services:

The Local System account (also called the System account) is a member of the local Administrators group.
The Local Service account has access rights similar to members of the Users group. This account accesses network services using a null session with no credentials. For this reason, this account might not provide sufficient network access for some services.
The Network Service account has access rights similar to members of the Users group. This account accesses network resources using the credentials of the computer account.
When using built-in local user accounts:

Accounts are automatically created.
You do not need to manage or reset account passwords.
Multiple services use the same user account, making it difficult to customize security for a specific service.
Domain user account

You can create domain user accounts for use by services. With domain user accounts:

User accounts are managed centrally in Active Directory.

You can create a single user account for a single service, or share a user account for multiple services.
You can grant only the specific privileges required by the service.
You must manage account passwords. For example, you will need to periodically reset the account password on the account as well as reset the password used by the service.
Managed service account



AND



Virtual account

A managed service account is a new account type available in Windows Server 2008 R2 and Windows 7. A managed service account provides the same benefits of using a domain user account with these improvements:

Passwords are managed and reset automatically.
When the domain is running at the Windows Server 2008 R2 functional level, the service principal name (SPN) doesn’t need to be managed as with local accounts.
When using a managed service account:

A user account can be used on only one computer (you must create at least one account per computer).


Each account can be used by multiple services on a computer. You can also create a separate account for each service.
A virtual account is a new account type available in Windows Server 2008 R2 and Windows 7 Virtual accounts:

Are not created or deleted.
Use a single account for a single service. If you have multiple services that use virtual accounts, there will be a different account for each service.
To configure a service to use a virtual service account, simply edit the service properties and configure the account to use an account name of NT SERVICEServiceName (where ServiceName matches the name of the service).
To use managed or virtual accounts:

Computers must be running Windows Server 2008 R2 or Windows 7 for the service to use the managed or virtual account.
You must update the Active Directory schema to Windows Server 2008 R2.
Domain controllers can be Windows Server 2003, 2008, or 2008 R2. If the domain controller is below Windows Server 2008 R2, you must have the Active Directory Management Gateway Service.
If a domain controller is running Windows Server 2008 R2 (or higher), service principal names (SPN) are managed automatically. If you do not have a domain controller running at least Windows Server 2008 R2, you must manage the SPN manually. Password resets are automatically managed for any supported domain controller.
Use the Active Directory module for Windows PowerShell to manage service accounts (and other objects). Common service account cmdlets include:

o New-ADServiceAccount creates a managed service account. By default, accounts are created in the Managed Service Account container in Active Directory (you can also specify an alternate OU for the new accounts).

o Get-ADServiceAccount displays properties for managed service accounts.

o Set-ADServiceAccount modifies settings.

o Remove-ADServiceAccount deletes a managed service account.

o Install-ADServiceAccount allows the computer to use the managed service account (install the account). Run Uninstall-ADServiceAccount to uninstall the account.

Results (Vietnamese) 1:

Tài khoản Dịch vụ là tài khoản người dùng đặc biệt có một ứng dụng hoặc dịch vụ sử dụng để tương tác với hệ điều hành. Dịch vụ sử dụng các dịch vụ tài khoản để đăng nhập và thực hiện thay đổi để hệ điều hành hoặc cấu hình. Thông qua điều khoản, bạn có thể kiểm soát các hành động dịch vụ có thể thực hiện. Bảng sau đây xác định loại dịch vụ tài khoản.

tài khoản

loại

mô tả

Trương mục người dùng cục bộ được xây dựng trong

tài khoản được xây dựng trong người dùng là trương mục người dùng được tạo ra tự động trong khi cài đặt. Sau ba người sử dụng được xây dựng trong tài khoản được sử dụng bởi hầu hết các dịch vụ:

Hệ thống địa phương tài khoản (tiếng Anh thường gọi là trương mục hệ thống) là một thành viên của các địa phương quản trị viên nhóm.
Dịch vụ địa phương tài khoản có quyền truy cập tương tự như các thành viên của nhóm người dùng. Tài khoản này truy cập mạng dịch vụ bằng cách sử dụng một phiên trống với không có thông tin đăng nhập. Vì lý do này, tài khoản này có thể không cung cấp đủ các quyền truy nhập mạng cho một số dịch vụ.
The mạng dịch vụ tài khoản có quyền truy cập tương tự như các thành viên của nhóm người dùng. Tài khoản này truy cập mạng tài nguyên bằng cách sử dụng thông tin đăng nhập của tài khoản máy tính.
khi sử dụng tài khoản người dùng cục bộ được xây dựng trong:

Tài khoản được tạo ra tự động.
bạn không cần phải quản lý hoặc đặt lại mật khẩu tài khoản.
nhiều dịch vụ sử dụng cùng một tài khoản người dùng, làm cho nó khó khăn để tùy chỉnh an ninh cho một dịch vụ cụ thể.
trương mục người dùng vùng

bạn có thể tạo miền tài khoản người dùng để sử dụng bởi dịch vụ. Với tài khoản người dùng miền:

tài khoản người dùng được quản lý trực thuộc Trung ương trong Active Directory.

Bạn có thể tạo một tài khoản người dùng cho một dịch vụ duy nhất, hoặc chia sẻ một tài khoản người dùng cho nhiều dịch vụ.
bạn có thể cấp chỉ quyền cụ thể theo yêu cầu của dịch vụ.
bạn phải quản lý mật khẩu tài khoản. Ví dụ, bạn sẽ cần phải định kỳ đặt lại mật khẩu tài khoản vào tài khoản cũng như đặt lại mật khẩu được sử dụng bởi dịch vụ.
quản lý tài khoản Dịch vụ


và


tài khoản ảo

Tài khoản Dịch vụ quản lý là một loại trương mục mới có sẵn trong Windows Server 2008 R2 và Windows 7. Tài khoản được quản lý Dịch vụ cung cấp các lợi ích tương tự của việc sử dụng trương mục người dùng vùng với những cải tiến:

mật khẩu được quản lý và đặt lại tự động.
khi tên miền đang chạy Windows Server 2008 R2 chức năng cấp, Dịch vụ chính tên (SPN) không cần phải được quản lý như với địa phương tài khoản.
khi sử dụng một tài khoản được quản lý Dịch vụ:

tài khoản người dùng có thể được sử dụng trên chỉ một máy tính (bạn phải tạo ít nhất một tài khoản cho một máy tính).


mỗi tài khoản có thể được sử dụng bởi nhiều dịch vụ trên một máy tính. Bạn cũng có thể tạo một tài khoản riêng cho mỗi dịch vụ.
Một tài khoản ảo là một loại trương mục mới có sẵn trong tài khoản Windows Server 2008 R2 và Windows 7 ảo:

không tạo hoặc xoá.
sử dụng một tài khoản duy nhất cho một dịch vụ duy nhất. Nếu bạn có nhiều dịch vụ sử dụng tài khoản ảo, sẽ có một tài khoản khác nhau cho mỗi dịch vụ.
để cấu hình một dịch vụ để sử dụng tài khoản Dịch vụ ảo, đơn giản chỉ cần chỉnh sửa thuộc tính của dịch vụ và cấu hình tài khoản để sử dụng một tên trương mục của NT SERVICEServiceName (nơi ServiceName khớp với tên của dịch vụ).
sử dụng tài khoản được quản lý hoặc ảo:

máy tính phải đang chạy Windows Server 2008 R2 hoặc Windows 7 cho các dịch vụ sử dụng các quản lý hoặc ảo tài khoản.
bạn phải Cập Nhật lược đồ Active Directory cho Windows Server 2008 R2.
Bộ điều khiển vùng có thể là Windows Server 2003, 2008 hoặc 2008 R2. Nếu điều khiển vùng hơn Windows Server 2008 R2, bạn phải có các dịch vụ hoạt động thư mục quản lý cổng.
nếu điều khiển vùng đang chạy Windows Server 2008 R2 (hoặc cao hơn), tên chính Dịch vụ (SPN) được quản lý tự động. Nếu bạn không có bộ kiểm soát miền chạy ít Windows Server 2008 R2, bạn phải quản lý SPN theo cách thủ công. Đặt lại mật khẩu tự động được quản lý trong bất kỳ điều khiển được hỗ trợ miền.
sử dụng các mô-đun Active Directory cho Windows PowerShell để quản lý tài khoản Dịch vụ (và các đối tượng khác). Phổ biến các lệnh ghép ngắn tài khoản Dịch vụ bao gồm:

o New-ADServiceAccount tạo ra một tài khoản được quản lý Dịch vụ. Theo mặc định, tài khoản được tạo ra trong các thùng chứa tài khoản Dịch vụ quản lý Active Directory (bạn cũng có thể chỉ định một OU thay thế cho các tài khoản mới).

o Get-ADServiceAccount Hiển thị các thuộc tính cho quản lý Dịch vụ tài khoản.

o Set-ADServiceAccount sửa đổi thiết đặt.

o Remove-ADServiceAccount xóa một tài khoản được quản lý Dịch vụ.

o cài đặt-ADServiceAccount cho phép máy tính sử dụng tài khoản được quản lý Dịch vụ (cài đặt tài khoản). Chạy gỡ cài đặt-ADServiceAccount để gỡ bỏ cài đặt tài khoản.