Обычно ожидают ответ NT AUTHORITY\SYSTEM, или LocalSystem: встроенный контекст с очень широкими локальными привилегиями, используемый системными службами. Но это не универсальная власть над доменом или всеми изолированными компонентами. В сети служба LocalSystem обычно действует от имени компьютера, а не автоматически как Domain Admin.
Как называется служебная учётная запись с максимальными привилегиями в Windows?
LocalSystem, известная как NT AUTHORITY\SYSTEM, имеет широкие локальные привилегии. Это не доменный администратор и не синоним режима ядра.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Обычно в таком вопросе ожидают LocalSystem, контекст безопасности которого отображается как NT AUTHORITY\SYSTEM. Это предопределенная учетная запись для системных служб с очень широкими правами на локальном компьютере. Ее назначение и особенности описаны в документации Microsoft.
Она не является обычной учетной записью вошедшего пользователя и не совпадает со встроенным Administrator. Служба под LocalSystem может выполнять многие операции, недоступные стандартному пользователю, поэтому ошибка в такой службе особенно опасна. Однако выражение «максимальные привилегии» здесь — удобное сокращение, а не доказательство отсутствия любых ограничений.
Важно различать три вещи: учетную запись, режим исполнения процессора и доступ к удаленным ресурсам. Процесс под SYSTEM не становится от этого кодом режима ядра. В сети LocalSystem представляет учетные данные компьютера; предоставленные ему удаленные права зависят от конфигурации. Это не означает автоматического членства в Domain Admins: это отдельная доменная группа.
Кроме того, современные границы изоляции не сводятся к сравнению локальных пользователей. Например, VBS использует гипервизор и отдельную защищенную среду. Наличие SYSTEM само по себе не следует трактовать как разрешение произвольно обращаться к любым данным такой среды.
Практический вывод — не назначать LocalSystem каждой службе «на всякий случай». Выбирают необходимый набор прав и подходящую служебную идентичность. Microsoft прямо отмечает, что большинству служб столь высокий уровень не нужен. На интервью достаточно назвать SYSTEM, затем обозначить локальный контекст и эти ограничения.