Conta localsystem

A conta LocalSystem é uma conta local predefinida usada pelo gerenciador de controle de serviço. Essa conta não é reconhecida pelo subsistema de segurança, portanto, você não pode especificar seu nome em uma chamada para a função LookupAccountName . Ele tem privilégios extensos no computador local e atua como o computador na rede. Seu token inclui os SIDs NT AUTHORITY\SYSTEM e BUILTIN\Administrators; essas contas têm acesso à maioria dos objetos do sistema. O nome da conta em todas as localidades é .\LocalSystem. O nome, LocalSystem ou ComputerName\LocalSystem também pode ser usado. Essa conta não tem uma senha. Se você especificar a conta LocalSystem em uma chamada para a função CreateService ou ChangeServiceConfig , todas as informações de senha fornecidas serão ignoradas.

Um serviço executado no contexto da conta LocalSystem herda o contexto de segurança do SCM. O SID do usuário é criado com base no valor SECURITY_LOCAL_SYSTEM_RID . A conta não está associada a nenhuma conta de usuário conectada. Isso tem várias implicações:

• A chave do Registro HKEY_CURRENT_USER está associada ao usuário padrão, não ao usuário atual. Para acessar o perfil de outro usuário, represente o usuário e acesse HKEY_CURRENT_USER.
• O serviço pode abrir a chave do Registro HKEY_LOCAL_MACHINE\SECURITY.
• O serviço apresenta as credenciais do computador para servidores remotos.
• Se o serviço abrir uma janela de comando e executar um arquivo em lote, o usuário poderá acessar CTRL+C para encerrar o arquivo em lote e obter acesso a uma janela de comando com permissões LocalSystem.

A conta LocalSystem tem os seguintes privilégios:

• SE_ASSIGNPRIMARYTOKEN_NAME (desabilitado)
• SE_AUDIT_NAME (habilitado)
• SE_BACKUP_NAME (desabilitado)
• SE_CHANGE_NOTIFY_NAME (habilitado)
• SE_CREATE_GLOBAL_NAME (habilitado)
• SE_CREATE_PAGEFILE_NAME (habilitado)
• SE_CREATE_PERMANENT_NAME (habilitado)
• SE_CREATE_TOKEN_NAME (desabilitado)
• SE_DEBUG_NAME (habilitado)
• SE_IMPERSONATE_NAME (habilitado)
• SE_INC_BASE_PRIORITY_NAME (habilitado)
• SE_INCREASE_QUOTA_NAME (desabilitado)
• SE_LOAD_DRIVER_NAME (desabilitado)
• SE_LOCK_MEMORY_NAME (habilitado)
• SE_MANAGE_VOLUME_NAME (desabilitado)
• SE_PROF_SINGLE_PROCESS_NAME (habilitado)
• SE_RESTORE_NAME (desabilitado)
• SE_SECURITY_NAME (desabilitado)
• SE_SHUTDOWN_NAME (desabilitado)
• SE_SYSTEM_ENVIRONMENT_NAME (desabilitado)
• SE_SYSTEMTIME_NAME (desabilitado)
• SE_TAKE_OWNERSHIP_NAME (desabilitado)
• SE_TCB_NAME (habilitado)
• SE_UNDOCK_NAME (desabilitado)

A maioria dos serviços não precisa de um nível de privilégio tão alto. Se o serviço não precisar desses privilégios e não for um serviço interativo, considere usar a conta LocalService ou a conta NetworkService. Para obter mais informações, consulte Segurança do serviço e Direitos de Acesso.