Какой смысл сервисной учетной записи?
Существуют разные уровни виртуализации. Самый легкий вес был бы виртуализацией уровня ОС. Виртуализация уровня ОС для Linux является OpenVZ/VServer. Они подобны BSD-Jails/Solaris-Zones. Единственная выгода - то, что они только выполняют виртуальные машины Linux и никакую другую ОС.
Это делает Вашему приложению конкретный отчет, с помощью которого можно установить безопасность. Обычно процесс работал бы как учетная запись пользователя IIS и для этого имел бы весь privildges, связанный с той учетной записью. Путем создания учетной записи только для того приложения, можно присвоить права на ту сервисную учетную запись только для ресурсов, в которых это нуждается. Это значительно уменьшает возможности любого использующего Ваше приложение и уменьшает возможности Вашего приложения, имеющего отрицательный эффект на некоторую часть системы, к которой это не должно получать доступ так или иначе.
Сервисная учетная запись используется для двух вещей: Изоляция и аудит.
Изоляция позволяет Вам предоставлять минимальные права, необходимые для сервиса к сервисной учетной записи, гарантируя, что, даже если взломщик должен был использовать сервис и получить локальный системный доступ его способность нанести, дальнейший ущерб ограничен. Даже в случае, где взломщик не является изоляцией беспокойства, препятствует тому, чтобы ошибочный сервис произвел другие сервисы.
Аудиту могут помочь сервисные учетные записи, потому что каждые меры, принятые различным сервисом, будут зарегистрированы как прибывающий от различного пользователя, делая дифференциацию одного сервиса плохо поведения от других, которые работают правильно легче.
Хотя это основное использование для сервисных учетных записей существуют другие, такие как настройка производительности. При выполнении каждого сервиса, поскольку различный пользователь позволяет Вам использовать существующее распределение ресурсов в расчете на пользователя для управления ресурсами, доступными сервису.
Я считаю сервисные учетные записи на сервис обязательной политикой для любой системы, которая надеется быть безопасной.
В основном: Если приложение повреждается, то ущерб, который оно может нанести, ограничивается только файлами, принадлежавшими или перезаписываемыми тем пользователем. Кроме того, если приложение поставлено под угрозу, то то же ограничение относится к данным, к которым можно получить доступ через него.
В принципале каждый объект программного обеспечения должен только смочь получить доступ к ресурсам, в которых это нуждается и ничто иное. Естественно, всегда существуют упрощения и компромиссы, но выполнение веб-приложения в соответствии с его собственной учетной записью является одной из основных мер применения этого.