การใช้บัญชีบริการที่มีการจัดการแบบสแตนด์อโลนสำหรับงานตามกำหนดเวลา

บัญชีบริการที่ได้รับการจัดการเป็นคุณลักษณะที่นำมาใช้ใน Windows Server 2008 R2 ซึ่งทำให้บัญชีบริการมีการจัดการรหัสผ่านอัตโนมัติ ซึ่งหมายความว่ารหัสผ่านสำหรับบัญชีเหล่านี้จะถูกเปลี่ยนโดยอัตโนมัติเป็นประจำโดยไม่ต้องมีปฏิสัมพันธ์กับมนุษย์ ข้อเสียของบัญชีบริการที่มีการจัดการแบบสแตนด์อโลนคือสามารถใช้งานได้จากคอมพิวเตอร์เท่านั้น ปัญหานี้แก้ไขได้ด้วยบัญชีบริการที่มีการจัดการแบบกลุ่มที่เปิดตัวใน Server 2012

ใน Windows Server 2012 บัญชีเหล่านี้สามารถใช้เป็นบัญชี RunAs ในงานตามกำหนดเวลาได้ แต่ไม่สามารถกำหนดค่าใน GUI ได้

ใช้ PowerShell เพื่อสร้างและติดตั้งบัญชีบริการ สร้างงานใหม่ใน GUI โดยใช้บัญชีผู้ใช้ปกติเป็นบัญชี run-as จากนั้นเปลี่ยนบัญชี run-as เป็นบัญชีบริการที่ได้รับการจัดการโดยใช้ schtasks.exe

ขั้นแรกให้สร้างบัญชีบริการที่ได้รับการจัดการบนเซิร์ฟเวอร์ Server 2008R2 Domain Controller (tha SamAccountName สามารถมีความยาวได้สูงสุด 14 อักขระ):

New-ADServiceAccount -SamAccountName "MyRunAsAccount" -Name "MyRunAsAccount" -Description "Account used for running MySchedTask on SERVER01"

จากนั้นให้สิทธิ์ SERVER01 เข้าถึงรหัสผ่านของบัญชีนี้โดยเรียกใช้:

Add-ADComputerServiceAccount -Identity "SERVER01" -ServiceAccount "MyRunAsAccount"

เพิ่มบัญชีในกลุ่มที่จำเป็นเพื่อให้สิทธิ์เพียงพอสำหรับวัตถุประสงค์ที่ตั้งใจไว้ โปรดทราบว่าไม่สามารถมอบบัญชีบริการที่มีการจัดการโดยตรงได้

บน SERVER01 (ที่ต้องใช้งาน Server 2012/Windows 8 หรือใหม่กว่าและติดตั้งโมดูล PowerShell AD) ให้ติดตั้งบัญชีบริการโดยเรียกใช้:

Install-ADServiceAccount -Identity "MyRunAsAccount"

ตอนนี้สร้างงานที่กำหนดเวลาไว้ใหม่บน SERVER01 โดยใช้ GUI และระบุบัญชีผู้ใช้ปกติเป็นบัญชี RunAs จากนั้นใช้เครื่องมือบรรทัดคำสั่ง schtasks.exe เพื่อเปลี่ยนบัญชี RunAs เป็นบัญชีบริการที่มีการจัดการที่สร้างขึ้นใหม่ดังนี้:

C:>schtasks /Change /TN ScheduledTaskName /RU "domainMyRunAsAcount$" /RP ""

หากคุณได้รับข้อความแสดงข้อผิดพลาดเช่นนี้ ให้ลองใช้ชื่อบัญชีที่สั้นลง ประสบการณ์ของฉันคือความยาวสูงสุดคือ 15 ตัวอักษรรวมเครื่องหมาย $ด้วย

ข้อผิดพลาด: ชื่อไฟล์หรือนามสกุลยาวเกินไป

วิธีนี้ใช้งานได้แม้ว่าจะไม่มี Domain Controller 2012 ในโดเมน แต่จะจำกัดบัญชีให้ใช้โดยคอมพิวเตอร์เครื่องเดียวเท่านั้น

การติดตั้งตัวควบคุมโดเมนที่ใช้ Windows Server 2012 ในโดเมนทำให้สามารถใช้บัญชีบริการที่มีการจัดการกลุ่มได้ ซึ่งทำให้สามารถใช้บัญชีเดียวจากเซิร์ฟเวอร์มากกว่าหนึ่งเครื่องได้

สำหรับการอ่านเพิ่มเติม โปรดดู การแนะนำบัญชีบริการที่ได้รับการจัดการและภาพรวมบัญชีบริการที่ได้รับการจัดการแบบกลุ่ม