null

Права доступа для резервного копирования в Windows системах

При установке компонент систем резервного копирования на Windows возникает вопрос, а какие пользователи и права должны быть выданы?

 

Вопрос кажется очевидным, ведь, "дай администратора" и всё закрутиться, всё завертиться, но не всегда это хорошая идея с точки зрения как управления инфраструктурой, так и безопасности.

Во первых, на Windows не нужно смешивать пользователя от имени которого будет мышкокликание и установка  программных компонентов с пользователем от которого сервисы будут выполняться.

Права и учетная запись для установки и настройки агента

Для первого - выделенного пользователя для операций установки и настройки ПО на целевой системе -можно запросить пользователя с членством в группе Администраторы (Administrators), а после установки попросить исключить из групп или вовсе деактивировать. На настроенных системах его использование уже не требуется.

Права и учетные записи Windows для выполнения сервиса

Для второго - пользователя от которого выполняются сервисы резервного копирования - помним, что как правило в системах резервного копирования сервисы на клиенте по умолчанию запускаются от системных учетных записей  из списка LocalSystem,LocalService, NetworkService... Это применимо к системам Bacula, NetBackup, Backup Exec, Veeam агент.......

НО, как и для любого сервиса с целью управления и повышения безопасности можно поменять учетные данные от которых выполняется сервис на какие угодно. Для этого требуется соблюдение как минимум одного членства в группе Backup Operators ( Операторы Архива в русскоязычной ОС Windows), чтобы не давать учетной записи всесильных прав администратора.

Описание Backup Operator:

Операторы архива могут переопределять ограничения доступа только в целях копирования и восстановления файлов

 

и на англ. более понятно:

Members of the Backup Operators group can back up and restore all files on a computer, regardless of the permissions that protect those files. Backup Operators also can log on to and shut down the computer.

 

Backup Operators это историческая встроенная группа Windows с возможностью выполнять операции резервного копирования и восстановления, предоставляя SeBackupPrivilege и

Для домена, достаточно внести учетную запись в группу Backup Operators чтобы осуществлять действия агентов от этой УЗ на всех системах в домене.

В том числе у членов группы Backup Operators есть права на резервное копирование всех контроллеров домена в домене:

 Backup Operators group has the right to perform backup operations for all domain controllers in the domain.

Не стоит пренебрегать использовать встроенные средства, тем более такие мощные как встроенные в NT группы безопасности. И жизнь упростит, и архитектура "правильная" будет.

Обращайтесь, у нас есть большой опыт внедрений и сопровождения систем резервного копирования и восстановления данных в различных гетерогенных инфраструктурах со сложными legacy системами и SLA.