Cómo encontrar cuentas de servicio en Active Directory

En este tutorial, le mostraré cómo encontrar cuentas de servicio en Active Directory. Además, le mostraré cómo encontrar dónde se utilizan las cuentas de servicio en su dominio.

Normalmente, un servicio o una tarea programada se configura para ejecutarse como la cuenta del sistema local. Pero hay ocasiones en las que un usuario de dominio o una cuenta local están configurados para ejecutarse como servicio.

El problema es que no existe una manera sencilla de rastrear dónde se utiliza una cuenta de servicio.

La buena noticia es que creé una herramienta fácil de usar que puede escanear sus sistemas y encontrar todas las cuentas de servicio. También te mostraré algunos comandos de PowerShell para buscar cuentas de servicio.

Índice de contenidos:

Encuentre dónde se utilizan las cuentas de servicio con la herramienta GUI
Encuentre cuentas de servicio usando PowerShell
Enumere todas las cuentas de servicio en Active Directory

Requisitos

Es necesario permitir la entrada de WMI en las computadoras de destino.
AD Pro Toolkit: puede descargar una prueba gratuita aquí
PowerShell 5.1 o superior

Vídeotutorial

En el siguiente vídeo, demuestro cómo encontrar dónde se utilizan las cuentas de servicio con AD Pro Toolkit y PowerShell.

Encuentre dónde se utilizan las cuentas de servicio con la herramienta GUI

Si no documenta sus cuentas de servicio, podría terminar ejecutándose en varios servidores o incluso sistemas informáticos. Esta situación es muy difícil de gestionar y puede suponer un problema de seguridad.

La única solución es escanear todos sus sistemas y encontrar cuáles tienen cuentas utilizadas para ejecutar un servicio. Para simplificar esto, puede utilizar la herramienta de informes de cuentas de servicio.

Paso 1. Abra la herramienta de informes de cuentas de servicio

Haga clic aquí para descargar una prueba gratuita

Paso 2. Escanear computadoras en busca de cuentas de servicio

Seleccione para escanear todas las computadoras o seleccione una unidad organizativa o una computadora específica.

En este ejemplo, escanearé todas las computadoras del dominio. Si no desea incluir tareas programadas, desmarque la casilla "incluir tareas programadas". Haga clic en el botón Ejecutar para iniciar el análisis.

Cuando se complete el análisis, tendrá una lista de todos los servicios que se ejecutan en sus sistemas, el estado y la cuenta con la que se ejecuta el servicio.

Paso 3. Filtrar el informe de cuentas de servicio

Para encontrar cuentas de servicios específicas, puede filtrar el informe o hacer clic en el icono de búsqueda. Primero, haré clic en la columna RunningAs y filtraré el informe. Busco cuentas de usuario de dominio que se estén ejecutando como.

Puede ver en la captura de pantalla anterior que cuando filtro los resultados encontré dos cuentas de dominio que se utilizan como cuentas de servicio, una está en la PC3 y la otra en SRV-VM1.

Otra opción es utilizar el icono de búsqueda. Por ejemplo, escribo mi nombre de dominio y, con suerte, encontrará todas las cuentas de dominio.

¡Impresionante! La herramienta encontró rápidamente dos cuentas de usuario de dominio configuradas para ejecutar un servicio de Windows.

¿Cómo buscar una cuenta de servicio específica?

Si desea escanear sus computadoras en busca de una cuenta de servicio específica, utilice la opción buscar servicios ejecutándose como.

En este ejemplo, escanearé todas las computadoras en busca de la cuenta de servicio "adam.reed".

¡Muy lindo! Esta opción funciona muy bien cuando conoces el nombre de la cuenta de servicio. Por desgracia, eso no es siempre el caso.

Encuentre cuentas de servicio usando PowerShell

Aquí hay un comando simple de PowerShell para buscar cuentas de servicio en una sola computadora.

get-wmiobject win32_service -comp pc3 | Group Startname -NoElement

Este comando agrupará los servicios por nombre de inicio, creo que hace que sea más fácil de leer y obtener una descripción general de qué cuentas ejecutan el servicio.

Si no desea agrupar los resultados, utilice este comando.

get-wmiobject win32_service -comp pc3 | select name, status, startname

Para buscar una cuenta específica utilice este comando. Estoy haciendo una búsqueda con comodines para cuentas de servicio que se ejecutan como usuario de dominio.

get-wmiobject win32_service -comp pc3 -filter "startname like '%activedirectory%'" | select name, status, startname

Enumere todas las cuentas de servicio en Active Directory

En este tutorial, me he referido a las cuentas de servicio como cuentas de usuario de dominio normales. En este escenario, no existe una manera fácil de enumerar todas las cuentas de servicio a menos que haya documentado o implementado una convención de nomenclatura para ellas.

A continuación se muestra lo que dice Microsoft sobre las cuentas de servicio locales.

Le recomendamos que agregue un prefijo como "svc-" a todas las cuentas que utilice como cuentas de servicio. Esta convención de nomenclatura hará que las cuentas sean más fáciles de encontrar y administrar. Considere también la posibilidad de utilizar un atributo de descripción para la cuenta de servicio y el propietario de la cuenta de servicio. La descripción puede ser el alias del equipo o el propietario del equipo de seguridad.
https://learn.microsoft.com/en-us/azure/active-directory/fundamentals/service-accounts-on-premises#find-on-premises-service-accounts

Además de agregar un prefijo, crearía una unidad organizativa solo para cuentas de servicio. Es posible que tenga cuentas de servicio existentes a las que no pueda agregar un prefijo, por lo que al colocarlas todas en una unidad organizativa puede enumerar fácilmente todas las cuentas de servicio en Active Directory.

Otra opción para enumerar todas las cuentas de servicio es verificar la configuración de la política local. Cuando una cuenta está configurada para ejecutarse como un servicio, se le otorgarán derechos de inicio de sesión como servicio.

Debería abrir la política de grupo local en cada sistema y verificar la asignación de derechos de usuario.

Configuración de la computadora -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Asignación de derechos de usuario -> Iniciar sesión como servicio.

Como puede ver arriba, tengo dos cuentas de dominio a las que se les ha otorgado el derecho de iniciar sesión como servicio. Desafortunadamente, no existe una manera fácil de consultar esto en todas las computadoras. Sería más fácil utilizar la herramienta de informes de cuentas de servicio o PowerShell para consultar todas las computadoras.

Conclusión

En este tutorial, le mostré dos métodos para encontrar dónde se utilizan las cuentas de servicio. Al usar PowerShell, puede enumerar fácilmente todas las cuentas de servicio en una sola computadora, pero es un desafío para varias computadoras. Para escanear fácilmente todas las computadoras, recomiendo usar la herramienta de informes de cuentas de servicio del AD Pro Toolkit. Esta herramienta GUI le permite consultar todas las computadoras en busca de cuentas de servicio de dominio, filtrar los resultados y exportar las cuentas a un archivo CSV.