Exécution en tant que compte de service

Compte de service d'application

Les permissions suivantes peuvent ne pas être requises dans tous les environnements.

L'application PowerShell Universal peut être exécutée en tant que compte de service. Cela signifie que l'application exécutera toutes ses fonctions en tant que compte de service, y compris les tâches d'application locales, les travaux (par défaut) et les tableaux de bord. Il s'agit d'une configuration suggérée et elle est requise pour exécuter des travaux en tant qu'autres PSCredentials définis dans les variables secrètes.

Pour exécuter Universal Automation en tant que compte de service, et non en tant que compte système local, un ensemble supplémentaire de permissions est requis pour le compte de service. Windows exige un ensemble distinct de permissions pour le compte de service s'il ne fait pas partie du groupe Administrateurs local sur l'hôte.

Si vous hébergez PowerShell Universal dans Internet Information Services (IIS) - ces permissions sont ÉGALEMENT requises pour le compte d'identité du pool d'applications.

Vous pouvez attribuer manuellement les permissions requises dans le composant logiciel enfichable « Stratégie de sécurité locale » situé ici : Panneau de configuration / Outils d'administration / Stratégie de sécurité locale / Stratégies locales / Attribution des droits utilisateur.

Ajoutez l'utilisateur ou le groupe aux droits suivants pour assurer la fonctionnalité de PowerShell Universal :

• Ouvrir une session en tant que service
• Ajuster les quotas de mémoire pour un processus
• remplacer un jeton de niveau processus

Les vérifications de l'état de santé requièrent l'appartenance aux groupes suivants afin de recueillir des informations sur le système PSU.

• Utilisateurs de l'Analyseur de performances
• Utilisateurs du journal de performances

Exigences relatives à l'exécution de scripts en tant qu'autre compte

En utilisant les variables secrètes, vous pouvez enregistrer des PSCredentials qui peuvent servir à exécuter des scripts en tant que compte de service. Ces comptes de service nécessitent un ensemble spécifique de permissions Windows afin d'exécuter correctement les travaux.

Le compte de service que vous souhaitez utiliser doit disposer du droit « Ouvrir une session en tant que tâche » sur l'hôte Windows. Les administrateurs de la machine possèdent ce droit par défaut, donc si le compte de service n'est PAS un administrateur, vous devez vous assurer que la permission est configurée pour le compte.

Vous pouvez attribuer manuellement cette permission dans le composant logiciel enfichable « Stratégie de sécurité locale » situé ici : Panneau de configuration / Outils d'administration / Stratégie de sécurité locale / Stratégies locales / Attribution des droits utilisateur.

Ajoutez l'utilisateur ou le groupe aux membres de « Propriétés de Ouvrir une session en tant que tâche » afin de permettre au compte d'exécuter correctement les travaux de script dans PowerShell Universal.

Veuillez noter que certains de ces paramètres peuvent déjà être gérés par des définitions d'objet de stratégie de groupe (GPO). Cela peut faire en sorte que ces paramètres soient remplacés ou ne puissent pas être appliqués.

Configurer un service PowerShell Universal pour qu'il s'exécute sous ce compte

Une fois que vous avez configuré le compte de service à utiliser avec PowerShell Universal, vous devrez configurer le service PowerShell Universal pour qu'il utilise ce compte.

Ouvrez le composant logiciel enfichable Services en exécutant services.msc . Trouvez le service PowerShell Universal, cliquez dessus avec le bouton droit, puis cliquez sur Propriétés. Cliquez sur l'onglet Ouverture de session et entrez les identifiants du compte de service.