Référence technique pour les comptes utilisés dans Configuration Manager

Ce groupe est utilisé par Configuration Manager pour permettre la consultation de fichiers collectés par l'inventaire logiciel.

Le tableau suivant répertorie des détails supplémentaires pour ce groupe :

Ce groupe est un groupe de sécurité local créé sur le serveur de base de données du site ou le serveur de réplica de base de données par System Center 2012 Configuration Manager et n'est pas utilisé actuellement. Ce groupe est réservé pour une utilisation future par Configuration Manager.

Ce groupe est utilisé par les outils de contrôle à distance Configuration Manager pour stocker les comptes et les groupes que vous configurez dans la liste des observateurs autorisés, qui sont assignés à chaque client.

Le tableau suivant répertorie des détails supplémentaires pour ce groupe :

Détail	Plus d'informations
Type et emplacement	Ce groupe est un groupe de sécurité local créé sur le client Configuration Manager, lorsque le client reçoit la stratégie qui active les outils de contrôle à distance. Important Après avoir désactivé les outils de contrôle à distance pour un client, ce groupe n'est pas automatiquement supprimé et doit être manuellement supprimé à partir de chaque ordinateur client.
Adhésion	Par défaut, ce groupe ne contient aucun membre. Lorsque vous ajoutez des utilisateurs à la liste Observateurs autorisés, ils sont automatiquement ajoutés à ce groupe. Conseil Utilisez la liste Observateurs autorisés pour gérer l'appartenance à ce groupe, plutôt que d'ajouter des utilisateurs ou des groupes directement à ce groupe. En plus d'être un Observateur autorisé, un utilisateur administratif doit disposer de l'autorisation Contrôle à distance pour l'objet Regroupement. Vous pouvez attribuer cette autorisation à l'aide du rôle de sécurité Opérateur d'outils à distance.
Autorisations	Par défaut, ce groupe ne dispose pas d'autorisations pour tous les emplacements de l'ordinateur et est utilisé uniquement pour contenir la liste Observateurs autorisés.

Ce groupe est utilisé par Configuration Manager pour accorder l'accès au fournisseur SMS, via WMI. L'accès au fournisseur SMS est requis pour afficher et modifier des objets dans la console Configuration Manager.

Le tableau suivant répertorie des détails supplémentaires pour ce groupe :

Ce groupe est utilisé par les points de gestion Configuration Manager qui sont distants du serveur de site pour se connecter à la base de données du site. Ce groupe fournit un accès au point de gestion pour les dossiers Boîte de réception sur le serveur de site et la base de données du site.

Le tableau suivant répertorie des détails supplémentaires pour ce groupe :

Ce groupe est utilisé par les ordinateurs fournisseurs SMS Configuration Manager distants du serveur de site pour se connecter à celui-ci.

Le tableau suivant répertorie des détails supplémentaires pour ce groupe :

Ce groupe est utilisé par le Gestionnaire de répartition de fichiers sur les ordinateurs de systèmes de site distants Configuration Manager pour se connecter au serveur de site.

Le tableau suivant répertorie des détails supplémentaires pour ce groupe :

Ce groupe est utilisé par Configuration Manager pour activer la réplication de fichiers entre les sites d'une hiérarchie. Pour chaque site distant qui transfère directement des fichiers vers ce site, ce groupe contient les comptes suivants :

• Comptes configurés en tant que compte d'adresse de site et issus de sites Configuration Manager sans Service Pack

• Comptes configurés comme compte de réplication de fichiers et issus de sites qui exécutent Configuration Manager SP1 et versions ultérieures

Le tableau suivant répertorie des détails supplémentaires pour ce groupe :

Le Compte de découverte de groupes Active Directory permet de découvrir les groupes de sécurité locaux, globaux et universels, l'appartenance au sein de ces groupes et l'appartenance au sein des groupes de distribution à partir des emplacements spécifiés dans les services de domaine Active directory. Les groupes de distribution ne sont pas découverts en tant que ressources de groupe.

Ce compte peut être un compte d'ordinateur du serveur de site qui exécute la découverte ou un compte d'utilisateur Windows. Celui-ci doit disposer de l'autorisation d'accès Lecture aux emplacements Active Directory spécifiés pour cette découverte.

Le Compte de découverte de systèmes Active Directory est utilisé pour découvrir des ordinateurs situés dans des emplacements spécifiés pour les services de domaine Active Directory.

Ce compte peut être un compte d'ordinateur du serveur de site qui exécute la découverte ou un compte d'utilisateur Windows. Celui-ci doit disposer de l'autorisation d'accès Lecture aux emplacements Active Directory spécifiés pour cette découverte.

Le Compte de découverte d'utilisateurs Active Directory est utilisé pour découvrir des comptes d'utilisateur situés dans des emplacements spécifiés pour les services de domaine Active Directory.

Ce compte peut être un compte d'ordinateur du serveur de site qui exécute la découverte ou un compte d'utilisateur Windows. Celui-ci doit disposer de l'autorisation d'accès Lecture aux emplacements Active Directory spécifiés pour cette découverte.

Le compte de forêt Active Directory est utilisé pour découvrir les infrastructures réseau de forêts Active Directory, et est également utilisé par des sites d'administration centrale et des sites principaux pour publier les données du site vers les services de domaine Active Directory d'une forêt.

Ce compte doit disposer des autorisations de Lecture pour chaque forêt Active Directory dont vous souhaitez découvrir l'infrastructure réseau.

Ce compte doit disposer des autorisations Contrôle intégral pour le conteneur Gestion du système et tous ses objets enfants dans chaque forêt Active Directory où vous souhaitez publier les données de site.

D'un point de vue fonctionnel, le compte de préparation et de découverte AMT est comparable au compte administrateur distant AMT. Il réside dans les extensions BIOS du moteur de gestion (MEBx) des ordinateurs Intel basés sur AMT. Le serveur exécutant le rôle du point de service hors bande utilise ce compte pour gérer certaines fonctions de l'interface réseau AMT, via la fonction de gestion hors bande.

Si vous spécifiez un compte de préparation et de découverte AMT dans Configuration Manager, il doit correspondre au nom et au mot de passe du compte administrateur distant AMT définis dans les extensions BIOS des ordinateurs basés sur AMT.

Le compte est stocké dans les extensions BIOS du moteur de gestion de l'ordinateur AMT et ne correspond à aucun compte dans Windows.

Le compte de suppression de préparation AMT peut supprimer des informations de préparation AMT, si vous devez restaurer le site. Vous pouvez également l'utiliser lorsqu'un client Configuration Manager a été réaffecté et que les informations de préparation AMT n'ont pas été supprimées de l'ordinateur sur l'ancien site.

Pour supprimer les informations de préparation AMT en utilisant le compte de suppression de préparation AMT, toutes les conditions suivantes doivent exister :

• Le compte de suppression de préparation AMT est configuré dans les propriétés du composant de gestion hors bande.

• Le compte configuré pour le compte de suppression de préparation AMT a été configuré comme compte d'utilisateur AMT dans les propriétés du composant de gestion hors bande lorsque l'ordinateur AMT a été préparé ou mis à jour.

• Le compte configuré pour le compte de suppression de préparation AMT doit être membre du groupe Administrateurs local sur l'ordinateur du point de service hors bande.

• Le journal d'audit AMT n'est pas activé.

Dans la mesure où il s'agit d'un compte d'utilisateur Windows, spécifiez un compte avec un mot de passe fort qui n'expire pas.

Le compte administrateur distant AMT correspond au compte de l'extension BIOS du moteur de gestion (MEBx) des ordinateurs Intel basés sur AMT qui est utilisé par le serveur exécutant le rôle de point de service hors bande pour gérer certaines fonctionnalités de l'interface réseau AMT dans Configuration Manager via la fonction de gestion hors bande.

Configuration Manager définit automatiquement le mot de passe du compte d'utilisateur distant pour les ordinateurs qu'il met en service pour AMT. Ce mot de passe est ensuite utilisé pour garantir un accès authentifié au microprogramme AMT. Ce compte fonctionne de la même manière que le compte de préparation et de découverte AMT de Configuration Manager.

Le compte est stocké dans les extensions BIOS du moteur de gestion de l'ordinateur AMT et ne correspond à aucun compte dans Windows.

Les comptes d'utilisateurs AMT contrôlent les utilisateurs ou les groupes Windows qui peuvent exécuter des fonctions de gestion dans la console de gestion hors bande.

La configuration des comptes d'utilisateurs AMT crée l'équivalent d'une liste de contrôle d'accès (ACL) dans le microprogramme AMT. Lorsque l'utilisateur connecté tente d'exécuter la console de gestion hors bande, AMT utilise Kerberos pour authentifier le compte, puis autorise ou refuse l'accès à l'exécution des fonctions de gestion AMT.

Configurez les comptes d'utilisateurs AMT avant de configurer les ordinateurs AMT. Si vous configurez les comptes d'utilisateurs AMT après la configuration des ordinateurs pour AMT, vous devez mettre à jour la mémoire AMT manuellement pour ces ordinateurs afin qu'ils soient reconfigurés avec les nouveaux paramètres.

Étant donné que les comptes d'utilisateurs AMT utilisent l'authentification Kerberos, les comptes d'utilisateurs et les groupes de sécurité doivent exister dans un domaine Active Directory.

Le compte du serveur proxy du point de synchronisation Asset Intelligence est utilisé par le point de synchronisation Asset Intelligence pour accéder à Internet via un serveur proxy ou un pare-feu qui nécessite un accès authentifié.

Sécurité Remarque
Spécifiez un compte qui dispose des autorisations minimales pour le serveur proxy requis ou le pare-feu.

Le compte du point d'enregistrement de certificat connecte le point d'enregistrement de certificat à la base de données Configuration Manager. Par défaut, le compte d'ordinateur du serveur du point d'enregistrement de certificat est utilisé, mais vous pouvez configurer un compte d'utilisateur à la place. Chaque fois que le point d'enregistrement de certificat est dans un domaine non approuvé du serveur de site, vous devez spécifier un compte d'utilisateur. Ce compte requiert uniquement un accès en lecture à la base de données du site, car les opérations d'écriture sont gérées par le système de messages d'état.

Le compte Capturer l'image du système d'exploitation est utilisé par Configuration Manager pour accéder au dossier contenant les images capturées lorsque vous déployez des systèmes d'exploitation. Ce compte est requis si vous ajoutez l'étape Capturer l'image du système d'exploitation à la séquence de tâches.

Le compte doit disposer d'autorisations en Lecture et en Écriture sur le partage réseau sur lequel l'image capturée est stockée.

Si le mot de passe du compte est modifié dans Windows, vous devez mettre à jour la séquence de tâches avec le nouveau mot de passe. Le client Configuration Manager recevra le nouveau mot de passe lorsqu'il téléchargera ensuite la stratégie client.

Si vous utilisez ce compte, vous pouvez créer un compte d'utilisateur de domaine avec des autorisations minimales pour accéder aux ressources réseau nécessaires et l'utiliser pour tous les comptes de séquence de tâches.

Sécurité Remarque
N'attribuez pas d'autorisations d'ouverture de session interactive à ce compte. N'utilisez pas le compte d'accès réseau pour ce compte.

Ce compte d'installation poussée du client est utilisé pour se connecter aux ordinateurs et pour installer le logiciel client Configuration Manager dans le cadre du déploiement de clients via la procédure d'installation poussée du client. Si ce compte n'est pas spécifié, c'est le compte du serveur de site qui est utilisé pour installer le logiciel client.

Ce compte doit être membre du groupe Administrateurs local sur les ordinateurs où le logiciel client Configuration Manager doit être installé. Ce compte ne nécessite pas de droits d’administrateur de domaine.

Vous pouvez spécifier un ou plusieurs comptes d'installation poussée du client, que Configuration Manager teste successivement jusqu'à ce que l'un d'eux fonctionne.

Conseil

Pour améliorer la coordination des mises à jour de comptes dans des déploiements Active Directory étendus, créez un compte avec un autre nom, puis ajoutez le nouveau compte à la liste des comptes d'installation poussée du client dans Configuration Manager. Laissez suffisamment de temps aux services de domaine Active Directory pour répliquer le nouveau compte, puis supprimez l'ancien compte de Configuration Manager et des services de domaine Active Directory.

Sécurité Remarque
N'accordez pas le droit d'ouverture de session locale à ce compte.

Le compte de connexion du point d'inscription connecte le point d'inscription à la base de données de site Configuration Manager. Par défaut, le compte d'ordinateur du point d'inscription est utilisé, mais vous pouvez configurer un compte d'utilisateur à la place. Chaque fois que le point d'inscription est dans un domaine non approuvé à partir du serveur de site, vous devez spécifier un compte d'utilisateur. Ce compte requiert un accès en lecture et en écriture à la base de données de site.

Le compte de connexion Exchange Server connecte le serveur de site à l'ordinateur Exchange Server spécifié pour rechercher et gérer des appareils mobiles qui se connectent à Exchange Server. Ce compte nécessite des applets de commande PowerShell Exchange qui fournissent les autorisations requises pour l'ordinateur Exchange Server. Pour plus d'informations sur les applets de commande, voir Comment gérer des périphériques mobiles à l'aide de Configuration Manager et d'Exchange.

Le compte du serveur proxy du connecteur Exchange Server est utilisé par le connecteur Exchange Server pour accéder à Internet via un serveur proxy ou un pare-feu qui requiert un accès authentifié.

Sécurité Remarque
Spécifiez un compte qui dispose des autorisations minimales pour le serveur proxy requis ou le pare-feu.

Pour Configuration Manager sans Service Pack : Le compte de connexion du serveur SMTP Endpoint Protection est utilisé par le serveur de site pour envoyer des alertes par courrier électronique pour Endpoint Protection lorsque le serveur SMTP requiert un accès authentifié.

Sécurité Remarque
Spécifiez un compte qui dispose des autorisations minimales pour envoyer des courriers électroniques.

Le compte de publication de référence de l'état d'intégrité permet de publier la référence de l'état d'intégrité de la protection d'accès réseau (NAP) pour Configuration Manager vers les services de domaine Active Directory.

Si vous ne configurez aucun compte, Configuration Manager tente d'utiliser le compte d'ordinateur du serveur de site pour publier les références de l'état d'intégrité.

Ce compte nécessite des autorisations en Lecture, en Écriture et en Création vers la forêt Active Directory qui stocke la référence de l'état d'intégrité.

Créez le compte dans la forêt qui est désignée pour stocker les références de l'état d'intégrité. Attribuez un nombre d'autorisations minimal vers ce compte et n'utilisez pas le même compte que celui spécifié pour le compte d'interrogation de référence de l'état d'intégrité, qui nécessite uniquement des autorisations en Lecture.

Le compte d'interrogation de référence de l'état d'intégrité permet de récupérer la référence de l'état d'intégrité de la protection d'accès réseau (NAP) pour Configuration Manager à partir des services de domaine Active Directory.

Si vous ne configurez aucun compte, Configuration Manager tente d'utiliser le compte d'ordinateur du serveur de site pour récupérer les références de l'état d'intégrité.

Ce compte nécessite des autorisations de Lecture sur le conteneur Systems Management de Configuration Manager dans le catalogue global.

Créez le compte dans la forêt qui est désignée pour stocker les références de l'état d'intégrité. N'utilisez pas le même compte pour le compte de publication de référence de l'état d'intégrité, qui nécessite davantage de privilèges.

Sécurité Remarque
N'accordez pas à ce compte des autorisations d'ouverture de session interactive.

Le compte de connexion du point de gestion permet de connecter le point de gestion à la base de données de site Configuration Manager pour pouvoir envoyer et récupérer des informations pour les clients. Par défaut, le compte d'ordinateur du point de gestion est utilisé, mais vous pouvez configurer un compte d'utilisateur à la place. Chaque fois que le point de gestion est dans un domaine non approuvé à partir du serveur de site, vous devez spécifier un compte d'utilisateur.

Créez le compte comme un compte doté de droits limités, compte local sur l'ordinateur qui exécute Microsoft SQL Server.

Sécurité Remarque
N'accordez pas à ce compte des autorisations d'ouverture de session interactive.

Le compte MEBx est celui correspondant à l'extension BIOS du moteur de gestion sur les ordinateurs Intel AMT et qui permet d'obtenir un accès authentifié au microprogramme AMT sur les ordinateurs utilisant cette technologie.

Le nom du compte MEBx est admin et son mot de passe par défaut est également admin. Il se peut que le fabricant vous ait fourni un mot de passe personnalisé ou que vous ayez défini le mot de passe de votre choix dans AMT. Si la valeur du mot de passe MEBx n'est pas admin, vous devez configurer un compte de configuration et de découverte AMT. Pour plus d'informations, consultez Étape 5 : Configuration du composant de gestion hors bande dans la rubrique Comment configurer les ordinateurs AMT dans Configuration Manager.

Le compte est stocké dans les extensions BIOS du moteur de gestion de l'ordinateur AMT. Ce compte ne correspond à aucun compte de Windows.

Si le mot de passe MEBx par défaut n'a pas été modifié avant que Configuration Manager configure l'ordinateur pour AMT, au cours du processus de configuration AMT, Configuration Manager définit le mot de passe que vous configurez.

Le compte de connexion multidiffusion est utilisé par des points de distribution qui sont configurés pour la multidiffusion afin de lire les informations de la base de données de site. Par défaut, le compte d'ordinateur du point de distribution est utilisé, mais vous pouvez configurer un compte d'utilisateur à la place. Chaque fois que la base de données de site est dans une forêt non approuvée, vous devez spécifier un compte d'utilisateur. Par exemple, si votre centre de données dispose d'un réseau de périmètre dans une forêt autre que celle du serveur de site et de la base de données du site, vous pouvez utiliser ce compte pour lire les informations sur la multidiffusion à partir de la base de données du site.

Si vous créez ce compte, créez-le en tant que compte local doté de droits limités sur l'ordinateur qui exécute Microsoft SQL Server.

Sécurité Remarque
N'accordez pas à ce compte des autorisations d'ouverture de session interactive.

Le compte d'accès réseau est utilisé par les ordinateurs clients lorsqu'ils ne peuvent pas utiliser leur compte d'ordinateur local pour accéder au contenu sur les points de distribution. Par exemple, cela s'applique aux clients du groupe de travail et aux ordinateurs de domaines non approuvés. Ce compte peut également être utilisé pendant le déploiement du système d'exploitation si l'ordinateur qui installe le système d'exploitation ne possède pas encore de compte d'ordinateur sur le domaine.

Accordez à ce compte les autorisations minimales appropriées sur le contenu dont le client a besoin pour accéder au logiciel. Le compte doit disposer du droit Accéder à cet ordinateur à partir du réseau sur le point de distribution ou d'un autre serveur sur lequel se trouve le contenu du package. Avant System Center 2012 R2 Configuration Manager, vous ne pouvez créer qu'un seul compte d'accès réseau par site et ce compte doit fonctionner pour tous les packages et toutes les séquences de tâches qui en ont besoin. À partir de System Center 2012 R2 Configuration Manager, vous pouvez configurer plusieurs comptes d'accès réseau par site.

Avertissement
Lorsque Configuration Manager tente d’utiliser le compte nomordinateur$ pour télécharger le contenu et qu’il n’y parvient pas, il essaie automatiquement de réutiliser le compte d’accès réseau, même s’il a préalablement fait une tentative qui a échoué.

Créez le compte dans n’importe quel domaine fournissant l’accès nécessaire aux ressources. Le compte d'accès réseau doit toujours inclure un nom de domaine. La sécurité directe n’est pas prise en charge pour ce compte. Si vous disposez de points de distribution dans plusieurs domaines, créez le compte dans un domaine approuvé.

Conseil
Pour éviter les verrouillages de compte, ne modifiez pas le mot de passe d'un compte d'accès réseau existant. Au lieu de cela, créez un nouveau compte et configurez le nouveau compte dans Configuration Manager. Après un délai suffisant pendant lequel tous les clients ont reçu les informations du nouveau compte, supprimez l'ancien compte des dossiers partagés du réseau et supprimez le compte.

Sécurité Remarque
N'accordez pas à ce compte des autorisations d'ouverture de session interactive N'accordez pas à ce compte le droit de joindre les ordinateurs au domaine. Si vous devez joindre les ordinateurs au domaine au cours d'une séquence de tâches, utilisez le compte de jonction de domaine de l'Éditeur de séquence de tâches.

Pour System Center 2012 R2 Configuration Manager et ultérieur : Vous pouvez maintenant spécifier plusieurs comptes d'accès réseau pour un site. Quand des clients essaient d'accéder au contenu et ne peuvent pas utiliser leur compte d'ordinateur local, ils utilisent d'abord le dernier compte d'accès réseau qui s'est connecté avec succès.Configuration Manager prend en charge jusqu'à dix comptes d'accès réseau.

Les comptes d'accès au package vous permettent de définir des autorisations NTFS pour spécifier les utilisateurs et les groupes d'utilisateurs qui peuvent accéder à un dossier de package sur des points de distribution. Par défaut, Configuration Manager accorde l'accès uniquement aux Utilisateurs et Administrateurs de comptes d'accès génériques, mais vous pouvez contrôler l'accès pour les ordinateurs clients en utilisant des groupes ou des comptes Windows supplémentaires. Les appareils mobiles récupèrent toujours le contenu du package de façon anonyme, afin que les comptes d'accès au package ne soient pas utilisées par des appareils mobiles.

Par défaut, lorsque Configuration Manager crée le partage du package sur un point de distribution, il accorde un accès en Lecture au groupe Utilisateurs local et un Contrôle intégral au groupe Administrateurs local. Les autorisations requises dépendent du package. Si vous avez des clients dans des groupes de travail ou dans des forêts non approuvées, ceux-ci utiliseront le compte d'accès réseau pour accéder au contenu du package. Assurez-vous que le compte d'accès réseau bénéficie d'autorisations sur le package à l'aide des comptes d'accès au package définis.

Utilisez des comptes dans un domaine susceptible d'accéder aux points de distribution. Si vous créez ou modifiez le compte une fois le package créé, vous devez redistribuer le package. La mise à jour du package ne modifie pas les autorisations NTFS sur le package.

Il est inutile d'ajouter le compte d'accès réseau comme un compte d'accès au package, car l'appartenance au groupe Utilisateurs l'ajoute automatiquement. Le fait de restreindre le compte d'accès au package au compte d'accès réseau uniquement n'empêche pas les clients d'accéder au package.

Le compte du point de Reporting Services est utilisé par SQL Server Reporting Services pour récupérer les données pour les rapports de Configuration Manager à partir de la base de données de site. Le compte d'utilisateur Windows et le mot de passe que vous spécifiez sont chiffrés et stockés dans la base de données SQL Server Reporting Services.

Les comptes que vous spécifiez en tant qu'Observateurs autorisés pour le contrôle à distance sont une liste d'utilisateurs autorisés à utiliser la fonctionnalité Outils de contrôle à distance sur les clients.

Le compte d'installation du système de site est utilisé par le serveur de site pour installer, réinstaller, désinstaller et configurer des systèmes de site. Si vous configurez le système de site afin que le serveur de site établisse des connexions vers ce système de site, Configuration Manager utilise également ce compte pour extraire les données de l'ordinateur du système de site après l'installation du système de site et de tous les rôles de ce dernier. Chaque système de site peut posséder un autre compte d'installation du système de site, mais vous ne pouvez configurer qu'un compte d'installation du système de site pour gérer tous les rôles du système de site sur ce système de site.

Ce compte nécessite des autorisations d'administrateur locales sur les systèmes de site qu'ils installeront et configureront. De plus, ce compte doit disposer du droit Accéder à cet ordinateur à partir du réseau dans la stratégie de sécurité sur les systèmes de site qu'ils installeront et configureront.

Conseil

Si vous disposez de plusieurs contrôleurs de domaine et si ces comptes seront utilisés dans plusieurs domaines, vérifiez qu'ils ont été répliqués avant de configurer le système de site. Lorsque vous spécifiez un compte local sur chaque système de site à gérer, cette configuration est plus sécurisée que l'utilisation de comptes de domaine, car elle limite les dommages que les personnes malveillantes peuvent provoquer en cas de compromission du compte. Toutefois, les comptes de domaine sont plus faciles à gérer. Vous devez donc trouver un compromis entre la sécurité et une administration efficace.

Pour System Center 2012 Configuration Manager SP1 et ultérieur : Le compte de connexion au serveur SMTP est utilisé par le serveur de site pour envoyer des alertes par courrier électronique lorsque le serveur SMTP requiert un accès authentifié.

Sécurité Remarque
Spécifiez un compte qui dispose des autorisations minimales pour envoyer des courriers électroniques.

Le compte de connexion du point de mise à jour logicielle est utilisé par le serveur de site pour les deux services de mises à jour logicielles suivants :

• Configuration Manager WSUS, qui configure les paramètres tels que les définitions de produits, les classifications et les paramètres en amont.

• WSUS Synchronization Manager, qui demande la synchronisation à un serveur WSUS en amont ou Microsoft Update.

Le compte d'installation du système de site peut installer des composants pour les mises à jour logicielles, mais il ne peut pas exécuter de fonctions spécifiques aux mises à jour logicielles sur le point de mise à jour logicielle. Si vous ne pouvez pas utiliser le compte d'ordinateur du serveur de site pour cette fonctionnalité car le point de mise à jour logicielle se trouve dans une forêt non approuvée, vous devez spécifier ce compte en complément du compte d'installation du système de site.

Ce compte doit être un administrateur local sur l'ordinateur sur lequel WSUS est installé, et il doit faire partie du groupe Administrateurs WSUS local.

Le compte du serveur proxy du point de mise à jour logicielle est utilisé par le point de mise à jour logicielle pour accéder à Internet via un serveur proxy ou un pare-feu qui requiert un accès authentifié.

Sécurité Remarque
Spécifiez un compte qui dispose des autorisations minimales pour le serveur proxy requis ou le pare-feu.

Le compte du site source est utilisé par le processus de migration pour accéder au fournisseur SMS du site source. Ce compte nécessite des autorisations en Lecture vers les objets de site du site source pour collecter des données pour les tâches de migration.

Si vous mettez à niveau les points de distribution Configuration Manager 2007 ou les sites secondaires ayant des points de distribution au même emplacement vers des points de distribution System Center 2012 Configuration Manager, ce compte doit également disposer d'autorisations en Suppression vers la classe Site pour pouvoir supprimer le point de distribution du site Configuration Manager 2007 au cours de la mise à niveau.

Le compte de base de données du site source est utilisé par le processus de migration pour accéder à la base de données SQL Server pour le site source. Pour collecter des données à partir de la base de données SQL Server du site source, le compte de base de données du site source doit disposer d'autorisations en Lecture et en Exécution vers la base de données SQL Server du site source.

Le Compte de jonction de domaine de l'Éditeur de séquence de tâches est utilisé dans une séquence de tâches pour joindre un ordinateur nouvellement mis en image à un domaine. Il est nécessaire si vous ajoutez l'étape Joindre le domaine ou le groupe de travail à une séquence de tâches, puis sélectionnez l'option Joindre un domaine. Vous pouvez également le configurer si vous ajoutez l'étape Appliquer les paramètres réseau à une séquence de tâches mais cette opération n'est pas obligatoire.

Ce compte exige le droit de Jonction de domaine dans le domaine que l'ordinateur devra joindre.

Conseil
Si vous avez besoin de ce compte pour vos séquences de tâches, vous pouvez créer un compte d'utilisateur de domaine doté des autorisations d'accès minimales aux ressources réseau nécessaires, puis l'utiliser pour tous les comptes de séquence de tâches.

Sécurité Remarque
N'attribuez pas d'autorisations d'ouverture de session interactive à ce compte. N'utilisez pas le compte d'accès réseau pour ce compte.

Le Compte de connexion à un dossier réseau de l'Éditeur de séquence de tâches est utilisé par une séquence de tâches pour se connecter à un dossier partagé sur le réseau. Ce compte est obligatoire si vous ajoutez l'étape Connexion à un dossier réseau à une séquence de tâches.

Ce compte requiert des autorisations pour l'accès au dossier partagé spécifié et doit être un compte de domaine d'utilisateur.

Conseil
Si vous avez besoin de ce compte pour vos séquences de tâches, vous pouvez créer un compte d'utilisateur de domaine doté des autorisations d'accès minimales aux ressources réseau nécessaires, puis l'utiliser pour tous les comptes de séquence de tâches.

Sécurité Remarque
N'attribuez pas d'autorisations d'ouverture de session interactive à ce compte. N'utilisez pas le compte d'accès réseau pour ce compte.

Le compte d'identification de la séquence de tâches est utilisé pour exécuter des lignes de commande dans des séquences de tâches avec des informations d'identification différentes de celles du compte système local. Ce compte est requis pour ajouter l'étape Exécuter la ligne de commande à une séquence de tâches sans que la séquence s'exécute avec les autorisations du compte système local sur l'ordinateur géré.

Configurez le compte pour qu'il dispose des autorisations minimales pour exécuter la ligne de commande spécifiée dans la séquence de tâches. Le compte requiert des autorisations de connexion interactive et, généralement, la possibilité d'installer des logiciels et d'accéder aux ressources du réseau.

Sécurité Remarque

N'utilisez pas le compte d'accès réseau pour ce compte. Ne configurez en aucun cas le compte en tant qu'administrateur de domaine. Ne configurez jamais de profils itinérants pour ce compte. Lorsque la séquence de tâches s'exécute, elle télécharge le profil itinérant pour le compte, ce qui le rend vulnérable aux accès sur l'ordinateur local. Limitez la portée du compte. Par exemple, créez différents comptes d'identification de la séquence de tâches pour chaque séquence de tâches, de sorte que, si un compte est compromis, seuls les ordinateurs clients auxquels ce compte a accès sont compromis. Si la ligne de commande requiert un accès administrateur sur l'ordinateur, vous pouvez créer un compte administrateur local réservé au compte d'identification de la séquence de tâches sur tous les ordinateurs qui exécuteront la séquence, puis supprimer le compte devenu inutile.