Exécution en tant que compte de service

Compte de service de l'application

Les autorisations suivantes peuvent ne pas être requises dans tous les environnements.

L'application PowerShell Universal peut être exécutée en tant que compte de service. Cela signifie que l'application exécutera toutes ses fonctions sous le compte de service, y compris les tâches d'application locales, les tâches (par défaut) et les tableaux de bord. Il s'agit d'une configuration recommandée, obligatoire pour exécuter des tâches en tant qu'autres PSCredentials définis dans les variables secrètes.

Pour exécuter Universal Automation en tant que compte de service, et non en tant que compte système local, un ensemble d'autorisations supplémentaires est requis pour le compte de service. Windows exige un ensemble distinct d'autorisations pour le compte de service s'il ne fait pas partie du groupe Administrateurs locaux sur l'hôte.

Si vous hébergez PowerShell Universal dans Internet Information Services (IIS), ces autorisations sont ÉGALEMENT requises pour le compte d'identité du pool d'applications.

Vous pouvez attribuer manuellement les autorisations requises dans le composant logiciel enfichable « Stratégie de sécurité locale » situé ici : Panneau de configuration / Outils d'administration / Stratégie de sécurité locale / Stratégies locales / Attribution des droits utilisateur.

Ajoutez l'utilisateur ou le groupe aux droits suivants pour garantir le fonctionnement de PowerShell Universal :

• Ouvrir une session en tant que service
• Ajuster les quotas de mémoire pour un processus
• Remplacer un jeton au niveau du processus

Local Security Policy User Rights Assignments for Service

Les vérifications de l'état de santé nécessitent l'appartenance aux groupes suivants pour collecter des informations sur le système PSU.

• Performance Monitor Users
• Performance Log Users

Exigences pour l'exécution de scripts en tant qu'autre compte

En utilisant des variables secrètes, vous pouvez enregistrer des PSCredentials permettant d'exécuter des scripts sous un compte de service. Ces comptes de service nécessitent un ensemble spécifique d'autorisations Windows pour exécuter correctement les tâches.

Le compte de service que vous souhaitez utiliser doit disposer du droit « Ouvrir une session en tant que tâche par lot » sur l'hôte Windows. Les administrateurs de la machine disposent de ce droit par défaut ; ainsi, si le compte de service n'est PAS un administrateur, vous devez vous assurer que l'autorisation est configurée pour ce compte.

Vous pouvez attribuer manuellement cette autorisation dans le composant logiciel enfichable « Stratégie de sécurité locale » situé ici : Panneau de configuration / Outils d'administration / Stratégie de sécurité locale / Stratégies locales / Attribution des droits utilisateur.

Ajoutez l'utilisateur ou le groupe aux membres de « Propriétés - Ouvrir une session en tant que tâche par lot » pour permettre au compte d'exécuter correctement des tâches de script dans PowerShell Universal :

Local Security Policy User Rights Assignments for Run As

Veuillez noter que certains de ces paramètres peuvent déjà être gérés par des définitions d'objet de stratégie de groupe (GPO). Cela peut entraîner le remplacement de ces paramètres ou l'impossibilité de les appliquer.

Configuration d'un service PowerShell Universal pour qu'il s'exécute sous le compte

Une fois que vous avez configuré le compte de service à utiliser avec PowerShell Universal, vous devez configurer le service PowerShell Universal pour utiliser ce compte.

Ouvrez le composant logiciel enfichable Services en exécutant services.msc. Recherchez le service PowerShell Universal, cliquez dessus avec le bouton droit, puis cliquez sur Propriétés. Cliquez sur l'onglet Connexion et entrez les informations d'identification du compte de service.