4
Minimale Berechtigung für certutil -view
Hallo,
auf unserem CA Server haben wir eine Aufgabe laufen, die über den Befehl
certutil –view –out RequesterName,CommonName,EMail,CertificateTemplate,NotAfter,Request.RevokedWhen CSV
Informationen zur Fälligkeit der Zertifikate liefert.
Derzeit läuft der Job mit den rechten eines lokalen Administrators, was wohl nicht sein sollte.
Ich habe lange gesucht, habe aber nicht herausgefunden, welche die mindestrechte sind, die der Benutzer braucht um diesen Befehl auszuführen.
Kann mir vielleicht jemand hier auf Administrator.de weiterhelfen.
Grüße
Andreas
auf unserem CA Server haben wir eine Aufgabe laufen, die über den Befehl
certutil –view –out RequesterName,CommonName,EMail,CertificateTemplate,NotAfter,Request.RevokedWhen CSV
Informationen zur Fälligkeit der Zertifikate liefert.
Derzeit läuft der Job mit den rechten eines lokalen Administrators, was wohl nicht sein sollte.
Ich habe lange gesucht, habe aber nicht herausgefunden, welche die mindestrechte sind, die der Benutzer braucht um diesen Befehl auszuführen.
Kann mir vielleicht jemand hier auf Administrator.de weiterhelfen.
Grüße
Andreas
Auf Facebook teilen
Auf X (Twitter) teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 671847
Url: https://administrator.de/forum/minimale-berechtigung-fuer-certutil-view-671847.html
Ausgedruckt am: 12.04.2025 um 16:04 Uhr
4 Kommentare
Neuester Kommentar
Gude,
warum richtet ich nicht einen gMSA Account für die geplante Aufgabe ein?
https://learn.microsoft.com/de-de/windows-server/identity/ad-ds/manage/g ...
https://techcommunity.microsoft.com/blog/askds/managed-service-accounts- ...
https://learn.microsoft.com/de-de/windows-server/identity/ad-ds/manage/g ...
Gruss Penny.
warum richtet ich nicht einen gMSA Account für die geplante Aufgabe ein?
https://learn.microsoft.com/de-de/windows-server/identity/ad-ds/manage/g ...
https://techcommunity.microsoft.com/blog/askds/managed-service-accounts- ...
https://learn.microsoft.com/de-de/windows-server/identity/ad-ds/manage/g ...
Gruss Penny.
Nimm das lokale Systemkonto "system".
Zitat von @Penny.Cilin:
Gude,
warum richtet ich nicht einen gMSA Account für die geplante Aufgabe ein?
Gude,
warum richtet ich nicht einen gMSA Account für die geplante Aufgabe ein?
Hallo Penny,
diese Info hatte ich leider unterlassen. Wir verwenden gmsa, trotzdem sollte der gmsa-Benutzer nur die mindestens notwendigen Rechte haben, denn auch gmsa hat so seine Tücken
https://www.semperis.com/de/blog/golden-gmsa-attack/
Grüße
Andreas
Moin Andreas.
Ich muss mal fragen, welchen Sinn
Wer hier ein gMSA empfiehlt, versteht nicht, wann man es nutzen sollte - nämlich genau dann, wenn es mit außen interagiert, zum Beispiel über einen Dienstport. Es hier zu nutzen ist also nur unnötige Mühe.
Ich muss mal fragen, welchen Sinn
trotzdem sollte der gmsa-Benutzer nur die mindestens notwendigen Rechte haben
hat. Das "least privilege"-Konzept in Ehren, aber hier ist es sinnlos, es zu verfolgen. Ein Task ist nicht von außen angreifbar. Setzt Du, wie von mir vorgeschlagen, das Systemkonto ein (höchstmögliche Rechte, Kennwort wechselt bereits automatisch, genau wie beim GMSA), dann erfüllt das den Zweck und die Sicherheit bleibt davon unbenommen.Wer hier ein gMSA empfiehlt, versteht nicht, wann man es nutzen sollte - nämlich genau dann, wenn es mit außen interagiert, zum Beispiel über einen Dienstport. Es hier zu nutzen ist also nur unnötige Mühe.
