Security
允許 LocalSystem 訪問網路文件夾
背景
我們在伺服器上執行的 LocalSystem 帳戶下執行 Windows 服務。我們有一個單獨的伺服器為我們的應用程序保存可能包含 PHI 的附件。今天，我們的 Windows 服務無法訪問此附件文件夾。我們無法控制伺服器或該伺服器上安裝了哪些應用程序。
我們想做的事
我們希望能夠從我們的 Windows 服務訪問此附件文件夾。
我們提出的解決方案
我們正在考慮建議我們的客戶授予 LocalSystem 帳戶訪問此附件文件夾的權限。據我了解，這將允許所有服務訪問此文件夾以及該伺服器上模擬 LocalSystem 帳戶的任何內容。
我的擔憂
由於我們無法控制此伺服器，因此其他應用程序將在此伺服器上執行，可能在 LocalSystem 帳戶下。其他應用程序可能具有使用 LocalSystem 帳戶配置的面向公眾的 IIS 網站（希望不是）。關鍵是我擔心推荐一些可能導致這些 PHI 文件以非預期方式被訪問的東西。我更喜歡正在建構一個專用網路帳戶，但我試圖了解我是否有理由擔心授予 LocalSystem 帳戶訪問權限。
我的問題
這會被認為是不好的做法嗎？這會讓我們面臨更多的安全風險嗎？
這裡有兩個選擇，您可以創建一個服務帳戶來訪問附件文件夾（記得設置服務使用此服務帳戶執行），或者您可以使用伺服器（服務在 LocalSystem 帳戶下執行）來訪問附件文件夾。請記住，您將需要對附件文件夾的機器帳戶（執行 LocalSystem 的伺服器）進行全面訪問。如果您使用 DFS 管理，請確保允許共享文件的權限。
建議：如果您想增加附件文件夾和 LocalService 伺服器之間的安全性，您可以：
- 在防火牆上設置規則（以管理伺服器和附件文件夾之間的流量）。
- 打開附件文件夾上的審核日誌。
- 此外，如果您有一個不錯的防病毒軟體，您可以設置規則以允許或拒絕附件文件夾的權限。