Windows UF 9.1.x のコマンドラインインストールで USE_VIRTUAL_ACCOUNT の代わりに LOCAL_SYSTEM を使用する方法

Applicability

Description

Splunk Universal Forwarder for Windowsは、バージョン9.1以降、サービスに仮想アカウントが設定されています。
この記事では、Windows Universal Forwarderをコマンドラインからインストールする際に、従来の方法であるLOCAL_SYSTEMアカウントを使用する方法について説明します。

ドキュメント「About the least-privileged user」に基づくと、
Universal Forwarderをローカルシステムアカウントまたはドメインユーザーとして実行することは、セキュリティ上のベストプラクティスではありません。なぜなら、Universal Forwarderの実行に不要な多くの高リスク権限をユーザーに与えてしまうためです。
バージョン9.1以降のUniversal Forwarderをインストールすると、インストーラーは「splunkfwd」という名前の「最小権限」ユーザーとして仮想アカウントを作成し、Universal Forwarderの実行に必要な機能のみを提供します。

仮想アカウントについては、Microsoftのドキュメント「Virtual accounts」を参照してください。

Investigation

Splunkドキュメント「Install a Windows universal forwarder from the command line」に基づくと、
Windows Universal ForwarderをコマンドラインからサイレントインストールするためのサンプルCLIは以下の通りです。

msiexec.exe /i splunkforwarder-9.1.2-b6b9c8185839-x64-release.msi LAUNCHSPLUNK=0 AGREETOLICENSE=Yes GENRANDOMPASSWORD=1 SERVICESTARTTYPE=auto /quiet

これはデフォルトでUniversal ForwarderをVIRTUAL_ACCOUNTとして実行するようにインストールします。以下のスクリーンショットを参照してください。

Resolution

サイレントインストールで、Windows Universal ForwarderをLOCAL_SYSTEMアカウントで実行する（セキュリティ上のベストプラクティスではありません）場合のコマンドは以下の通りです。

msiexec.exe /i splunkforwarder-9.1.2-b6b9c8185839-x64-release.msi LAUNCHSPLUNK=0 AGREETOLICENSE=Yes GENRANDOMPASSWORD=1 SERVICESTARTTYPE=auto USE_VIRTUAL_ACCOUNT=0 USE_LOCAL_SYSTEM=1 /quiet

フラグ USE_VIRTUAL_ACCOUNT=0 と USE_LOCAL_SYSTEM=1 を使用します。

サービスの結果は以下のスクリーンショットのようになります。

Related Links

Virtual accounts
Install a Windows universal forwarder from the command line
About the least-privileged user
Install splunk forwarder via command prompt to run under virtual account
Supported commandline flags

※本ページはこちらのページを翻訳したものです。内容に齟齬や不一致がある場合英語版が優先されます。