Servicekonti er de konti, som programmer, planlagte job og integrationer kører under. De oprettes ved en installation, får ofte flere rettigheder end nødvendigt og bliver stående længe efter, at den, der oprettede dem, er gået. En gennemgang kontrollerer fire ting: hvem der ejer kontoen, hvilke rettigheder den har, hvor gammelt passwordet er, og om kontoen er undtaget fra de regler, der gælder for alle andre.
SAMSIK kalder servicekonti privilegerede konti, der bør sikres ekstra. Det er en god ramme for hele kontrollen.
Ejer og formål
Det første udtræk er en liste over servicekonti med beskrivelse, oprettelsesdato og sidste brug. At kunne pege på en ejer og et system for hver konto er praksis, men uden det kan de øvrige kontroller ikke vurderes. En konto, ingen ved, hvad bruges til, kan hverken rettes eller lukkes uden risiko for nedbrud.
Det er derfor ofte her, gennemgangen bruger mest tid. Navngivningen hjælper, hvis den er konsekvent. Er den ikke det, må ejeren findes ved at se, hvor kontoen logger på fra, og hvilke tjenester eller job der kører under den.
Rettigheder
CISA og NSA anbefaler at køre tjenester med konti uden administratorrettigheder, hvor det er muligt, og at give servicekonti kun de rettigheder, de har brug for. Udtrækket er servicekontiene holdt op mod medlemskab af de privilegerede grupper og de lokale administratorgrupper. En servicekonto, der står som domæneadministrator, fordi installationen krævede det for år tilbage, er et typisk fund.
Microsofts group Managed Service Accounts lader Windows håndtere passwordet for tjenester, der kører på flere servere. CISA anbefaler at bruge den slags styrede servicekonti, hvor det er muligt. Antallet af almindelige brugerkonti, der bruges som servicekonti, holdt op mod antallet af styrede, viser, hvor langt driften er kommet.
Passwordets alder: her er kilderne uenige
Kilderne siger forskellige ting om, hvornår passwords på servicekonti skal skiftes, og det skal stå åbent i en gennemgang.
- CISA og NSA anbefaler for Windows-servicekonti lange passwords, ideelt 25 tegn eller mere, og periodisk udløb.
- SAMSIK skriver i sin passwordvejledning fra oktober 2026, at den personlige privilegerede konto lukkes straks, når en administrator fratræder, og at “passwords på alle service-konti, administratoren har haft kendskab til, skiftes”.
- Bilaget til forordning 2024/2690 stiller i punkt 11.6.2, litra c), et krav om skift af autentificeringsoplysninger med planlagte mellemrum for de virksomhedstyper, der er omfattet.
- SAMSIK, NIST SP 800-63B-4 og CISA’s baseline for Entra ID fraråder eller forbyder faste skift for brugeres passwords. Det er skrevet om brugeres passwords. Servicekonti nævnes ikke.
Hvordan forskellen skal afvejes, er tolkning. Vores læsning er, at fratrædelsesreglen hos SAMSIK er den, der oftest mangler i praksis. Gennemgangen kan holde datoen for seneste passwordskift på hver servicekonto op mod datoen for de seneste fratrædelser blandt administratorerne. Er passwordet ældre end fratrædelsen, og kendte den fratrådte det, er kontrollen ikke udført.
De statslige tekniske minimumskrav, som er obligatoriske i staten og en målestok for andre, siger i krav 12, at ejere af servicekonti med lækkede eller svage passwords orienteres med henblik på skift. Kravet gælder alle konti i de centrale brugerdatabaser, også servicekonti. Hvordan den kontrol udføres, er beskrevet i artiklen om kontrol af adgangskoder.
Undtagelser fra betinget adgang og MFA
Microsoft anbefaler at undtage servicekonti fra politikker for betinget adgang, og kald fra tjenesteidentiteter blokeres ikke af politikker rettet mod brugere. Det er forklaringen på, at servicekonti ofte står uden for MFA. Undtagelsen kan være rigtig, men den gør servicekontiene til et selvstændigt kontrolpunkt: hvilke konti er undtaget, hvorfor, og hvad begrænser dem i stedet?
Et almindeligt svar er, at kontoen kun kan logge på fra bestemte servere eller adresser. Det skal kunne ses i selve opsætningen. Dækningen af MFA er beskrevet i MFA-dækning.
Sidste brug og lukning
Mange servicekonti hører til systemer, der er udfaset. Sidste logon og sidste ændring af passwordet giver et første fingerpeg. En konto, der ikke har været brugt i lang tid, og hvis system ikke længere står på systemlisten, er en kandidat til lukning. Det er almindelig praksis at slå den slags konti fra og vente en periode, før de slettes, så et overset job kan nå at melde sig.
Hvad der sker med konti, når et system lukkes, er et emne for sig og beskrevet i når et system lukkes.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over servicekonti med ejer, en gennemgang af deres gruppemedlemskaber og en arbejdsgang, der kobler fratrædelse af administratorer til skift af de passwords, de har kendt. Fund om rettigheder er ofte de sværeste at rette, fordi det kræver test af det program, der bruger kontoen. Det er vores vurdering. Ingen kilde rangerer fundene.
Uden kontrollen står servicekonti med brede rettigheder og gamle passwords uden for MFA. Det er en kombination, hvor et password, en tidligere medarbejder kender, kan række langt ind i miljøet.
Det skal I lade være med
- At bruge personlige konti som servicekonti · så lukkes tjenesten, når personen fratræder.
- At give en servicekonto administratorrettigheder, fordi installationen beder om det · undersøg, hvad tjenesten faktisk skal bruge.
- At lade passwords, fratrådte administratorer kendte, stå uændret · SAMSIK anbefaler skift.
Det skal gennemgangen kunne vise
- ☐ En liste over servicekonti med ejer, system og formål.
- ☐ Servicekonti i privilegerede grupper markeret med begrundelse.
- ☐ Dato for seneste passwordskift holdt op mod fratrædelser blandt administratorer.
- ☐ Servicekonti undtaget fra betinget adgang med begrundelse og afbødning.
- ☐ Andelen af styrede servicekonti.
Kilder
- SAMSIK, Passwordsikkerhed, oktober 2026, side 17, læst 13. november 2026.
- CISA og NSA, AA23-278A Top Ten Cybersecurity Misconfigurations, 5. oktober 2023, tabel 2 og 9, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 11.6.2, læst 13. november 2026.
- NIST SP 800-63B-4 (2025), afsnit 3.1.1.2, læst 13. november 2026.
- CISA, M365 Secure Configuration Baseline for Microsoft Entra ID, MS.AAD.6.1v1, læst 13. november 2026.
- De tekniske minimumskrav for statslige myndigheder 2024, opdateret september 2025, krav 12, læst 13. november 2026.
- Microsoft Learn, group Managed Service Accounts, læst 13. november 2026.
- Microsoft Learn, Plan a Conditional Access deployment, opdateret 1. juni 2026, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find de servicekonti, der står i en privilegeret gruppe, og skriv ejeren på hver. Dem uden ejer er de første, der skal undersøges.
Læs også: Integrationer mellem systemer · Inaktive og forældreløse konti
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
