服务账户权限必须按实际行为审计后分级收敛，核心是让每个服务仅拥有运行所需最小权限并实时感知越权行为：检查登录身份、高危特权及真实访问路径，依服务类型匹配权限模型，刚性落实禁用交互登录、精确授予SeServiceLogonRight、NTFS继承阻断与高风险组移出，并通过启动验证、审计策略和SIEM告警形成闭环。
服务账户权限不能“一刀切”，必须按实际行为审计后分级收敛。配置核心不是设限，而是让每个服务只拥有它运行时真实需要的最小权限，并能实时感知越权行为。
服务账户权限现状审计
不查清当前用了什么权限，就无法做精准控制。重点抓三类行为：
- 在 services.msc 中逐个检查关键服务的“登录身份”：是 LocalService、NetworkService，还是自定义域账户？避免使用 Administrator 或内置高权限账户；
- 用 whoami /priv 以服务账户身份运行，确认是否意外持有 SeDebugPrivilege、SeTakeOwnershipPrivilege 等高危特权；
- 用 Process Monitor 过滤该服务 PID，观察其真实访问路径——比如某备份服务只读写
D:\Backup\，却拥有C:\Windows\System32的读取权，就是横向移动风险入口。
按服务类型匹配最小权限模型
不同服务依赖资源差异大，统一降权反而导致故障：
-
IIS 应用池：优先用 ApplicationPoolIdentity；若需自定义账户，仅授予站点物理路径的
(OI)(CI)RX和日志目录的W权限； -
SQL Server 数据库服务：需 SeLockMemoryPrivilege 和数据目录
Modify权限，但严禁FullControl或对系统盘写入； - 审计/监控类服务（如 ADAudit Plus）：必须加入 Event Log Readers 组，并单独授予“管理审核日志”和“读取安全日志”用户权限，禁止以管理员身份运行。
刚性收敛操作项
配置不是“尽量少给”，而是逐项落实不可绕过的基线：
- 禁用交互式登录：在 lusrmgr.msc 中取消勾选“允许通过远程桌面服务登录”，并勾选“密码永不过期”（需配套人工复核机制）；
- 精确授予 SeServiceLogonRight：仅用 secpol.msc 或 PowerShell 命令
Set-UserRightsAssignment -Account "svc_db" -Policy "Log on as a service"，不叠加其他特权； - NTFS 权限按目录阻断继承+显式授权：例如
icacls "D:\App\Data" /inheritance:d /grant:r "svc_db:(OI)(CI)(RX)"，确保无多余写入或执行； - 从高风险组彻底移出：用
net localgroup Administrators或net user svc_db /domain验证，确认不在 Administrators、Remote Desktop Users 等组内。
启动验证与异常行为捕获闭环
配置完成只是起点，必须建立可验证的安全反馈链：
- 服务启动后立即验证：用 sc qc <servicename> 检查 Log On As 账户是否生效，再用 tasklist /svc /fi "services eq <servicename>" 查 PID，结合 Process Monitor 复核实际访问路径是否收敛；
- 启用关键审计策略：在 gpedit.msc → 计算机配置 → Windows 设置 → 安全设置 → 高级审计策略配置中，启用“对象访问”“特权使用”“账户登录事件”的成功/失败审计；
- 为服务账户配置 SACL：用 icacls 或 PowerShell
Set-Acl为其所访问的关键目录/注册表项添加系统审计规则，捕获任何越权读写尝试； - 将事件 ID 4670（权限更改）、4672（特权分配）、4688（进程创建）纳入 SIEM 实时告警，设定阈值（如1小时内同一账户触发3次失败访问），自动阻断可疑会话。
