知識マップ: Windowsサービスのアカウント選定 ── LocalSystem・仮想アカウント・gMSAの使い分け

記事「Windowsサービスのアカウント選定 ── LocalSystem・仮想アカウント・gMSAの使い分け」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

単一マシン内で完結するサービスは仮想アカウント、ドメイン内のリソースへサービス固有の身元でアクセスするサービスはgMSAが第一候補です。LocalSystemはトークンにSYSTEMとBUILTIN\Administratorsを含むため、乗っ取られるとそのマシンのほぼすべてを失います。仮想アカウントはパスワード管理不要のままサービスごとに身元を分離でき、ACLにNT SERVICE\サービス名を直接書けますが、ネットワークへ出るとコンピューターアカウントに縮退するため、リモート側からはどのサービスかを区別できません。ドメインユーザーを使う構成は、SCMが保存したパスワードの期限切れがサービス停止になり、それを避ける無期限運用と平文の使い回しがKerberoastingの餌になります。gMSAは240バイトのランダムパスワードを既定30日ごとに自動ローテーションし、複数サーバーで同じ身元を共有できます。

flowchart LR
    accTitle: Windowsサービスの実行アカウント選択とgMSAの知識マップ
    accDescr: LocalSystemの危険性、LocalService/NetworkServiceの最小権限、仮想アカウントによるサービス単位の身元分離、ネットワークではコンピューターアカウントに縮退する仕組み、ドメインユーザー方式のパスワード運用とKerberoasting、gMSAによる自動ローテーションを示す図
    virtual_service_account["仮想アカウント"]
    gmsa["gMSA(group Managed Service Account)"]
    service_control_manager["SCM(サービス制御マネージャー)"]
    logon_as_service_right["「サービスとしてログオン」権利"]
    localsystem_account["LocalSystemアカウント"]
    admin_rights["管理者権限"]
    localservice_networkservice["LocalService / NetworkService"]
    per_service_network_identity["サービス個別のネットワーク身元"]
    computer_account["コンピューターアカウント(PC$)"]
    workgroup["ワークグループ構成"]
    domain_user_service_account["ドメインユーザーのサービスアカウント"]
    kerberoasting["Kerberoasting"]
    service_principal_name["SPN(サービスプリンシパル名)"]
    kerberos["Kerberos"]
    kds_root_key["KDSルートキー"]
    domain_functional_level["ドメイン機能レベル(DFL)"]
    domain_controller["ドメインコントローラー"]
    password_prompting_app["パスワード入力を前提とするアプリ"]
    security_event_4624["イベント4624(ログオン成功)"]
    service_control_manager -->|"利用する"| logon_as_service_right
    localsystem_account -->|"利用する"| admin_rights
    localservice_networkservice -->|"軽減する"| localsystem_account
    virtual_service_account -->|"の後継"| localservice_networkservice
    virtual_service_account -->|"両立しない"| per_service_network_identity
    virtual_service_account -->|"利用する"| computer_account
    computer_account -->|"両立しない"| workgroup
    domain_user_service_account -->|"前提とする"| service_control_manager
    domain_user_service_account -.->|"原因になり得る"| kerberoasting
    service_principal_name -->|"前提とする"| kerberos
    kerberoasting -->|"前提とする"| service_principal_name
    gmsa -->|"軽減する"| kerberoasting
    gmsa -->|"の後継"| domain_user_service_account
    gmsa -->|"前提とする"| kds_root_key
    gmsa -->|"前提とする"| domain_functional_level
    kds_root_key -->|"に保存される"| domain_controller
    gmsa -.->|"両立しない"| password_prompting_app
    domain_user_service_account -->|"で構成できる"| logon_as_service_right
    service_control_manager -->|"で確認できる"| security_event_4624

概念間の関係(全19件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• SCM(サービス制御マネージャー)は「サービスとしてログオン」権利を利用します。サービスはユーザーアカウントのセキュリティコンテキストで実行され、SCMが起動時にそのアカウントでログオンさせる。「サービスとしてログオン」権利はセキュリティプリンシパルがサービスとしてプロセスを実行できるようにする。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典 出典
• LocalSystemアカウントは管理者権限を利用します。LocalSystemのトークンにはNT AUTHORITY\SYSTEMとBUILTIN\AdministratorsのSIDが含まれ、ローカルコンピューター上で広範な特権を持つ。sc.exeでサービスの実行アカウントを指定するobj=パラメーターの既定値がLocalSystemであることが、安易な選択の温床になる。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典 出典
• LocalService / NetworkServiceはLocalSystemアカウントを軽減します。ローカル権限はどちらも最小で、リモートに対してLocalServiceは匿名、NetworkServiceはコンピューターアカウントとして見える。SYSTEMはNTFSボリューム上で既定でフルコントロールを持つのに対し、最小権限の組み込みアカウントはそこが違う。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• 仮想アカウントはLocalService / NetworkServiceの後継に当たります。仮想アカウントは自動的に管理されて作成もパスワード設定も不要という長所を保ったまま、サービス1つにつき固有の身元を持つのでアカウント共有による分離不能という短所を解消する。SQL Serverの既定のサービスアカウントもこれである。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典 出典
• 仮想アカウントはサービス個別のネットワーク身元と両立しません。仮想アカウントの身元はマシンローカルで、ネットワーク上ではコンピューターアカウントに縮退する。ドメインのリソースへはその身元でアクセスできるが、リモート側からどのサービスかを区別できず、複数サーバーで同じ身元を共有することもできない。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典
• 仮想アカウントはコンピューターアカウント(PC$)を利用します。ドメイン参加マシンでは、LocalSystem・NetworkService・仮想アカウントで動くサービスがリモートのリソースへアクセスするとき、DOMAIN\コンピューター名$として認証される。接続先のACLにPC$を付与すれば、ドメインユーザーを使わずに済むケースは多い。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典 出典
• コンピューターアカウント(PC$)はワークグループ構成と両立しません。コンピューターアカウントはActive Directoryのオブジェクトなので、ドメインに参加していないマシンには存在しない。接続先の資格情報を明示的に扱う設計が必要になる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• ドメインユーザーのサービスアカウントはSCM(サービス制御マネージャー)を前提とします。SCMがパスワードを保存して起動のたびにログオンに使うが、期限は管理してくれない。パスワードが期限切れになるとログオンが失敗し、サービスは起動しなくなる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• ドメインユーザーのサービスアカウントはKerberoastingの原因になることがあります。Kerberos認証を受けるサービスは実行アカウントにSPNを登録し、ドメインの任意の認証済みユーザーがそのアカウントへのサービスチケットを要求できる。人間が決めた10〜16文字程度のパスワードは、取得したチケットへのオフライン総当たりに耐えられない。 / 確度: 条件付きの関係 / 確認日: 2026-08-20 出典
• SPN(サービスプリンシパル名)はKerberosを前提とします。SPNはKerberos認証を受けるサービスが実行アカウントに登録する名前で、サービスチケットの宛先を特定する。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• KerberoastingはSPN(サービスプリンシパル名)を前提とします。攻撃の起点はSPNが登録されたアカウントで、SPNがなければサービスチケットの要求対象にならない。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• gMSA(group Managed Service Account)はKerberoastingを軽減します。gMSAのパスワードは240バイトのランダム生成で総当たり・辞書攻撃を受けにくい。実効性のある対策はパスワードを人間が推測・解読できない強度にすることで、マイクロソフトも長いパスワードの強制とgMSAの利用を挙げている。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典 出典
• gMSA(group Managed Service Account)はドメインユーザーのサービスアカウントの後継に当たります。既定30日ごとの自動ローテーションで人間が変更を計画する必要も、サービスを止める必要もなくなる。複数サーバーで同じ身元を共有でき、SPNの登録・管理も簡素化できる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典 出典
• gMSA(group Managed Service Account)はKDSルートキーを前提とします。パスワードはKDSのルートキーからドメインコントローラーが計算し、許可されたホストだけが取得する。KDSルートキーの作成は1回だけの作業だが、全ドメインコントローラーへの複製を待つため作成から最大10時間はgMSAを作成できない。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典 出典
• gMSA(group Managed Service Account)はドメイン機能レベル(DFL)を前提とします。gMSAにはActive Directoryドメイン環境であること、ドメインとフォレストの機能レベルがWindows Server 2012以上であること、gMSA名がフォレスト内で一意であることが要る。パスワード変更間隔は作成時にしか設定できない。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• KDSルートキーはドメインコントローラーに保存されます。ルートキーはドメインコントローラーが保持し、そこからgMSAのパスワードを計算する。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典
• gMSA(group Managed Service Account)はパスワード入力を前提とするアプリと両立しません。gMSAはWindowsサービス・IISアプリケーションプール・タスクスケジューラのタスクなど、標準の仕組みでログオン身元を構成するものには広く対応するが、アプリが内部でパスワードを要求する作りだと使えない。フェールオーバークラスタリング自体もgMSAをサポートしないなどの制約があるため、本番投入前にテスト環境で動作を確認する。 / 確度: 条件付きの関係 / 確認日: 2026-08-20 出典 出典
• ドメインユーザーのサービスアカウントは「サービスとしてログオン」権利で構成できます。ドメインユーザーを使わざるを得ない場合の緩和策として、対話型ログオンとリモートデスクトップを拒否し、「サービスとしてログオン」だけを許可する。 / 確度: 確立した関係 / 確認日: 2026-08-22 出典 出典
• SCM(サービス制御マネージャー)はイベント4624(ログオン成功)で確認できます。現状の棚卸しは、サービス一覧の実行アカウントと、ログオンタイプ5で記録されるイベント4624で確認できる。 / 確度: 確立した関係 / 確認日: 2026-08-20 出典

主要概念の定義

仮想アカウント

パスワード管理が不要で、コンピューターアカウントの資格情報でネットワークにアクセスしながらサービス単位でACLを付与できるサービス実行アカウント。

gMSA(group Managed Service Account)

パスワードの自動生成・自動更新とSPN管理の簡素化を提供するActive Directoryドメインのサービスアカウント。ドメインコントローラー側のKDSルートキーの準備を前提とする。

SCM(サービス制御マネージャー)

サービスの起動時に実行アカウントでログオンさせる、Windowsのサービス管理コンポーネント。

LocalSystemアカウント

サービスの実行アカウントの1つ。ローカルでは広範な特権を持つ一方、ネットワーク上ではコンピューターの資格情報としてリモートサーバーに認証される。

LocalService / NetworkService

ローカル権限を最小に抑えた組み込みのサービスアカウント。リモートに対してLocalServiceは匿名、NetworkServiceはコンピューターアカウントとして見える。

コンピューターアカウント(PC$)

ドメイン参加マシンがActive Directory上に持つアカウント。LocalSystem・NetworkService・仮想アカウントで動くサービスは、この身元でリモートのリソースへ認証される。

ドメインユーザーのサービスアカウント

サービスの実行アカウントとして割り当てられたドメイン(またはローカル)のユーザーアカウント。SCMがパスワードを保存し、起動のたびにログオンに使う。

SPN(サービスプリンシパル名)

Kerberos認証を受けるサービスが実行アカウントに登録する名前。

Kerberoasting

SPNが登録されたアカウントへのサービスチケットを認証済みユーザーとして要求し、オフラインでパスワードの総当たりを試みる攻撃。

KDSルートキー

gMSAのパスワード計算の元になる、キー配布サービスのルートキー。作成は1回だけだが、全ドメインコントローラーへの複製を待つ必要がある。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このデータセットについて

作成

合同会社小村ソフト

ライセンス

CC BY 4.0 ── 出典(合同会社小村ソフト)とライセンスへのリンクを明示し、改変した場合はその旨を示すことを条件に、再配布・改変を含めて再利用できます

最終確認日

2026-08-22 ── 収録する関係のうち、最後に出典と照合した日

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。