c++ - Windows 服务与 NamedPipe 之间的访问安全

Question

我有一个 C/C++ Windows 服务实现，它部署在两个不同的服务器上，使用 NamedPipe 以便它们可以相互通信。

我遵循最小权限原则，将服务帐户分配给“NT AUTHORITY/NetworkService”，创建具有“读取权限”(A;OICI;GR;;;NS) 的安全描述符的 NamedPipe，阻止匿名访问，阻止所有内置访客，授予登录用户和管理员组所有权限。

服务给我一个“拒绝访问(0x5)”错误。

这是我尝试过的:

1. 我试图授予“NetworkService”帐户的所有权限。我知道这很糟糕 :( 但只是想看看它是否有效!访问被拒绝

2. 允许匿名用户读取权限(我读到“NetworkService”帐户向网络上的其他计算机提供匿名凭据)。拒绝访问

该服务正在与我的控制台测试应用程序一起工作 :( 但不是与其他服务一起工作。安全性至关重要，我只希望两个服务器能够相互通信。

谁能告诉我，我是否应该为两个服务器中的每个服务创建一个特定的帐户？

服务器不在域中，所以我不确定如何创建一个网络范围的帐户，或者即使它是可能的。我不太擅长 Windows 管理!

这是使服务相互通信的正确方向吗？

Answer 1

听起来你有设计问题。

当您写到“使用具有‘读取权限’的安全描述符创建 NamedPipe”时，问题应该是“读取权限为谁？”。权限始终与受托人相关联。

在 Windows 中，受托者不存在于真空中。它们总是在某个范围内定义。如果没有中央用户数据库 (Active Directory)，那将是每台计算机的本地范围。并且两台计算机具有不同的、不重叠的受托者集。一台机器上的 Administrator 与另一台机器上的 Administrator 无关。

因此，当您向 NetworkService 授予对一台计算机上的 NamedPipe 的所有访问权限时，这可能意味着您向该计算机的 NetworkService 受托人授予了访问权限。 不是来自其他计算机的 NetworkService!

从根本上说，没有主域 Controller 作为共享权限，two Windows PC's just won't trust each other .每个都是自己的安全机构。