Sondage sur les comptes avant le déploiement

Une instance Devolutions Server requiert plusieurs comptes pour exécuter ses divers services. Les instances prennent en charge les comptes de domaine Active Directory ou les comptes SQL jumelés à des comptes de service locaux pour exécuter ses services.

Les noms de comptes dans cette rubrique ne sont que des suggestions.

Une instance Devolutions Server requiert plusieurs comptes pour exécuter ses divers services. Les instances prennent en charge les comptes de domaine Active Directory ou les comptes SQL jumelés à des comptes de service locaux pour exécuter ses services.

Les noms de comptes dans cette rubrique ne sont que des suggestions.

Utilisez la logique suivante pour décider quel type de compte utiliser :

• Si l'instance sera placée dans une DMZ, utilisez des comptes SQL Login pour DVLS_Owner, DVLS_Runner et DVLS_Scheduler, configurés directement dans la Devolutions Server Console — peu importe votre préférence d'authentification habituelle, puisque l'authentification Windows/Active Directory ne peut généralement pas atteindre un serveur isolé dans une DMZ.
• Si elle ne sera pas placée dans une DMZ, choisissez selon votre type d'authentification :

  • SQL Login : suivez le même chemin que ci-dessus.
  • Windows Login : utilisez l'authentification Windows et créez trois comptes avec uniquement les privilèges nécessaires :

    • DVLS_Runner (gMSA ou compte de service Windows) — attribué au pool d'applications IIS.
    • DVLS_Scheduler (gMSA ou compte de service Windows) — attribué au service du planificateur DVLS.
    • DVLS_Owner (identifiant Windows) — utilisé comme compte de gestion DVLS.

Windows

Comptes de domaine Windows (authentification intégrée)

Devolutions Server prend en charge l'utilisation de l'authentification intégrée pour les comptes Windows. Généralement, ces comptes sont gérés dans des environnements Active Directory locaux ou dans Azure Entra ID hébergé dans le nuage.

Il est recommandé d'utiliser des comptes distincts pour les différents rôles.

COMPTE	TYPE	OBJECTIF	EXIGENCES
DVLS_Owner	Active Directory ou Windows local	Un compte Windows administratif local doit exister sur le système hôte de Devolutions Server pour l'installer et l'administrer correctement (via l'application Devolutions Server Console). Utilisé pour lancer l'application Devolutions Server Console afin d'installer une instance Devolutions Server.	Un membre interactif du groupe Windows des administrateurs locaux sur le système hôte de Devolutions Server. Microsoft SQL Server Rôle de serveur : dbcreator Élément sécurisable : Alter any login, Control Server Base de données : dbowner Cliquez ici pour savoir pourquoi Control Server est requis, quand il est utilisé et comment éviter de l'accorder.
DVLS_Runner	Active Directory	Le compte est attribué au pool d'applications IIS qui exécute l'instance Devolutions Server et se voit accorder les privilèges minimaux lors de l'installation de l'instance. Après l'installation de l'application, la configuration doit être effectuée directement sur le pool d'applications IIS. Une fois le pool configuré, la Devolutions Server Console doit être utilisée pour attribuer les privilèges minimaux requis pour l'utilisateur. Les comptes gMSA sont pris en charge.	Il requiert la permission Log on as a service dans la stratégie de sécurité locale (secpol.msc) – Stratégies locales – Attribution des droits utilisateur. Assurez-vous de désactiver toute GPO qui pourrait écraser cette configuration.
DVLS_Scheduler	Active Directory	Ce compte est requis pour exécuter des tâches en arrière-plan dans une instance Devolutions Server, comme le service du planificateur, et se voit accorder les privilèges minimaux lors de l'installation de l'instance. Configuré dans la Devolutions Server Console lors de l'installation d'une instance. Les comptes gMSA sont pris en charge.	Il requiert la permission Log on as a service dans la stratégie de sécurité locale (secpol.msc) – Stratégies locales – Attribution des droits utilisateur. Assurez-vous de désactiver toute GPO qui pourrait écraser cette configuration.
DVLS_ADAuth	Active Directory	Un compte facultatif qui n'est requis que si l'authentification Windows est activée pour une instance Devolutions Server. Une fois installé, vous pouvez configurer les méthodes d'authentification disponibles dans l'interface web sous Administration – Configuration – Paramètres du serveur – Authentification.	Un accès en lecture seule dans l'unité organisationnelle (UO) donnée dans Active Directory, où les utilisateurs de Devolutions Server sont stockés. Il doit s'agir d'un utilisateur AD.

Comptes SQL Windows

Devolutions Server prend en charge les SQL Logins pour les ordinateurs Windows non joints à un domaine, ou si des comptes hors domaine doivent être utilisés. Il est recommandé d'utiliser des comptes distincts pour les différents rôles.

Il est recommandé d'utiliser des comptes distincts pour les différents rôles.

COMPTE	TYPE	OBJECTIF	EXIGENCES
Compte d'administrateur local	Windows local	Un compte Windows administratif local doit exister sur le système hôte de Devolutions Server pour l'installer et l'administrer correctement (via l'application Devolutions Server Console). Utilisé pour lancer l'application Devolutions Server Console afin d'installer une instance Devolutions Server.	Un membre interactif du groupe Windows des administrateurs locaux sur le système hôte de Devolutions Server.
DVLS_Owner	SQL Login	Un compte SQL Login avec les droits de créer une base de données et d'attribuer les permissions nécessaires à la nouvelle instance Devolutions Server.	Microsoft SQL Server Rôle de serveur : dbcreator Élément sécurisable : Alter any login, Control Server Base de données : dbowner Cliquez ici pour savoir pourquoi Control Server est requis, quand il est utilisé et comment éviter de l'accorder.
DVLS_Runner	SQL Login	Le pool d'applications IIS s'exécute sous le compte Windows local Network Service en utilisant le SQL Login dans une chaîne de connexion SQL stockée.
DVLS_Scheduler	SQL Login	Ce compte est requis pour exécuter des tâches en arrière-plan dans une instance Devolutions Server, comme le service du planificateur, et se voit accorder les privilèges minimaux lors de l'installation de l'instance. Le service Windows s'exécute sous le compte Windows Local Service en utilisant le SQL Login dans une chaîne de connexion SQL stockée.
DVLS_ADAuth	Active Directory	Un compte facultatif qui n'est requis que si l'authentification Windows est activée pour une instance Devolutions Server. Une fois installé, vous pouvez configurer les méthodes d'authentification disponibles dans l'interface web sous Administration – Configuration – Paramètres du serveur – Authentification.	Un accès en lecture seule dans l'unité organisationnelle (UO) donnée dans Active Directory, où les utilisateurs de Devolutions Server sont stockés.

Linux

Comptes SQL Linux

Devolutions Server pour Linux ne requiert pas le même nombre de comptes qu'une instance Windows. Elle s'exécute comme une application Kestrel avec un planificateur autonome. Par conséquent, un seul utilisateur Linux est requis pour exécuter une instance Devolutions Server.

Il est recommandé d'utiliser des comptes distincts pour les différents rôles.

COMPTE	TYPE	OBJECTIF	EXIGENCES
DVLS_Owner	Utilisateur Linux	Un compte doté des droits sudo est requis pour exécuter les scripts d'installation afin d'installer une instance Devolutions Server.
DVLS_Runner	Utilisateur Linux	Le compte Linux est attribué à l'instance Devolutions Server en cours d'exécution, contrôlée par un fichier d'unité SystemD.
DVLS_ADAuth	Active Directory	Un compte facultatif qui n'est requis que si l'authentification Windows est activée pour une instance Devolutions Server. Une fois installé, vous pouvez configurer les méthodes d'authentification disponibles dans l'interface web sous Administration – Configuration – Paramètres du serveur – Authentification.	Un accès en lecture seule dans l'unité organisationnelle (UO) donnée dans Active Directory, où les utilisateurs de Devolutions Server sont stockés.