MS_BuiltInSystemAccounts

ビルトイン システム アカウント

• TOP > インフラストラクチャ > アカウント
  • ビルトイン システム アカウント
  • ドメイン アカウント
  • 新しいアカウント
    • 仮想アカウント
    • gMSA

概要

ビルトイン システム アカウントとは

• 「ビルトインアカウント」とはどのシステムにも存在するアカウントのことで、
  Administrator や Guest アカウントなどが代表的です。
• これらのアカウントの SID も一般のアカウントのようにコンピュータのSIDをベースにしており、
  RID はそれぞれ 500、501 と固定です。

※ 一方、下記のサービス用アカウント（LocalSystem / LocalService / NetworkService）は
コンピュータの SID をベースにせず、S-1-5-18 / S-1-5-19 / S-1-5-20 という
well-known SID が全マシン共通で割り当てられる。

サービスで使用されるアカウント

Windowsサービスやタスク スケジューラは既定で以下のアカウントを使用します。

アカウント	SID	ローカルでの権限	ネットワーク上の資格情報
LocalSystem（System）	S-1-5-18	非常に強い（管理者相当）	コンピュータ アカウント（ホスト名$）
LocalService	S-1-5-19	低い（一般ユーザ相当）	匿名（Anonymous）
NetworkService	S-1-5-20	低い（一般ユーザ相当）	コンピュータ アカウント（ホスト名$）

• 実行するサービスに必要な最小の権限を選ぶのが原則で、
  安易に LocalSystem を使わない。
• ネットワーク越しに認証が必要なサービスは NetworkService、
  ローカル処理のみなら LocalService を選ぶ。

補足（最新化）: 元 Wiki が「新しいアカウント」として挙げている 仮想アカウント（NT SERVICE\<サービス名>）と gMSA（グループ管理サービス アカウント）は、 いずれも「パスワード管理の手間なく、サービス単位に権限を分離する」ための仕組み。

• 仮想アカウント：単一マシン内で使う。パスワード管理不要。
• gMSA：複数マシン（クラスタ／ファーム）で共有する。AD がパスワードを自動更新（既定30日）。

サービス アカウントとしてドメイン ユーザを作ってパスワードを固定運用する方式は、 SPN との組み合わせで Kerberoasting の的になるため、 現在は gMSA が推奨される。

参考

• サービス ユーザー アカウント - Microsoft Learn
• 「System」「Local Service」「Network Service」アカウントとは？ － ＠IT
• SIDによるアカウントの列挙 - CodeZine

---

Tags: セキュリティ, アカウント, Windows