MS_VirtualAccount

仮想アカウント

• TOP > インフラストラクチャ > アカウント
  • ビルトイン システム アカウント
  • ドメイン アカウント
  • 新しいアカウント
    • 仮想アカウント
    • gMSA

概要

• Windows 7 および Windows Server 2008 R2 以降でサポートされた。
• 自動管理（パスワード管理が不要）のローカル アカウント（サービス アカウント）。
• ドメイン環境内でコンピュータ・アカウントを使用してサービスがネットワークにアクセスできるようにしている。
• 既定の IIS のワーカプロセスであるアプリケーション プールの実行アカウント
  （アプリケーション プール ID: MS_ServiceAndTaskTopics.md）に、
  ApplicationPoolIdentity が選択されている場合、「仮想アカウント」が使用される。

※ 名前は NT SERVICE\<サービス名>、
IIS のアプリケーション プールの場合は IIS APPPOOL\<プール名> の形式。

詳細

• 仮想アカウントは自動的に管理され、ドメイン環境でネットワークにアクセスすることができる。
• 仮想アカウントを使用すると、パスワード管理が不要になり、
  ドメイン環境内でコンピューターのアカウント資格情報を使用して
  サービスがネットワークにアクセスできるようになるため、サービス管理が簡素化される。
• 仮想アカウントとして実行されるサービスは、<domain_name>\<computer_name>$ の形式で、
  コンピューター アカウントの資格情報を使用してネットワーク リソースにアクセスする。

位置付け

種別	範囲	パスワード管理	ネットワーク上の資格情報
LocalService / NetworkService	全サービスで共有	不要	匿名 / コンピュータ アカウント
仮想アカウント	サービス単位（単一マシン）	不要	コンピュータ アカウント
gMSA	サービス単位（複数マシンで共有可）	不要（AD が自動更新）	gMSA 自身
ドメイン アカウント	任意	必要	そのアカウント

• サービスごとにローカル権限を分離できるのが NetworkService との違い。
  ローカルのファイルやレジストリの ACL に NT SERVICE\<サービス名> を書けば、
  そのサービスだけにアクセスを許可できる。
• 一方、ネットワーク上ではコンピュータ アカウントとして見えるため、
  サーバファーム内でサービスを識別したい場合は gMSA を使う。

参考

• サービス アカウント - Microsoft Learn
• アプリケーション プール ID - Microsoft Learn

---

Tags: セキュリティ, アカウント, Windows