[Win7] Service EFS certificaat of userrechten geven?*

[Sando]

Dit is een beetje een korte topicstart maar ik kan er gewoon niets over vinden.

Ik heb een Apache service draaien en PHP pagina's kunnen geen bestanden benaderen die versleuteld zijn (EFS). De service wordt blijkbaar niet onder mijn naam uitgevoerd, maar als SYSTEM denk ik. Kan ik een dergelijke service ook rechten van mij(n user) geven of deze mijn EFS certificaat toekennen?

En als dat kan, is dat dan normaal of een groot beveiligingsrisico?

Windows 7 x64

[alt-92]

Ik denk dat dat makkelijker is op te lossen zodra je je services onder een non-system service-account laat draaien (maak een normale user aan en timmer die dicht), dan zou je die als extra user kunnen opgeven.

http://technet.microsoft.com/en-us/library/bb457065.aspx zou wellicht nog wat nuttigs kunnen opleveren dan.

[Sando]

Je bedoelt dat ik een nieuwe user maak die ik mijn EFS certificaat geef en de services als die user laat inloggen? Ik wist niet dat systeemservices werkten onder niet-system accounts, maar het is wel opgeefable in services.msc.

Krijg je dan ook dat services van elkaar afhankelijk onder de zelfde user moeten inloggen? Apache maakt bijvoorbeeld ook gebruik van de mysql service.

Ik heb ook een Privileged Server account die alle deamons van cygwin op zich neemt (ssh enzo). Kan ik die mijn EFS privileges geven of is dat een slecht idee?

[alt-92]

Sando schreef op woensdag 06 januari 2010 @ 13:25:
Je bedoelt dat ik een nieuwe user maak die ik mijn EFS certificaat geef en de services als die user laat inloggen?

Bijvoorbeeld Je zal geloof ik wel eerst met die account een bestand moeten encrypten zodat ie uberhaupt geprepareerd is als ik het zo lees, maar dat zou een optie kunnen zijn voor je.

Ik wist niet dat systeemservices werkten onder niet-system accounts, maar het is wel opgeefable in services.msc.

Krijg je dan ook dat services van elkaar afhankelijk onder de zelfde user moeten inloggen? Apache maakt bijvoorbeeld ook gebruik van de mysql service.

weer wat geleerd dus Maar nee, je hoeft niet dezelfde SID ervoor te gebruiken, zolang die accounts maar bij de bestanden kunnen mag je voor elke service je eigen service-account aanmaken als je dat zou willen.
Of het beheersbaar is laat ik aan jou over

Ik heb ook een Privileged Server account die alle deamons van cygwin op zich neemt (ssh enzo). Kan ik die mijn EFS privileges geven of is dat een slecht idee?

Het kan, maar da's een afweging die ik niet kan maken voor je.