Учетные записи для рабочих станций и серверов WW

[NewOrdered]

Добрый день!
Какие есть рекомендации по поводу использования учетных записей для машин с софтом WW?
Сейчас нас активно прессует отдел IT по поводу инф. безопасности. Хотелось бы выработать единую схему использования учеток, разделив их роли.

Пока что все сводится к следующему:
1. Сервисная учетная запись для запуска служб WW: права локального администратора, пароль без срока действия, интерактивный вход в систему невозможен.
2. Учетная запись пользователя для входа в систему и запуска HMI/клиентского софта: без админских привилегий
3. Учетная запись для администрирования рабочих станций/серверов: : права локального администратора

[Генератор зла]

Каждому видится что-то своё.
Например, у нас администраторов только минимум трое (обще-IT-шный, по антивирусному ПО, внутри-InTouch-евский).

[NewOrdered]

Каждому видится что-то своё.
Например, у нас администраторов только минимум трое (обще-IT-шный, по антивирусному ПО, внутри-InTouch-евский).

Схема с разделением учеток на сервисную и пользовательскую будет работать с софтом WW?

[Генератор зла]

На любом АРМ-е существует как минимум 2 системы (схемы) безопасности (с учётками).
Первая - от ОС. Доменная или раб. группа; с электронными картами или без них. Со своими админами, мастерами, юзерами и ЧС.
Вторая - внутри проекта Wonderware. Также со своими админами, мастерами, юзерами и ЧС.
Они могут пересекаться, а могут и не пересекаться. Во втором случае вторая является подмножеством первой (либо OS-based Security, либо ArchestrA-based Security при условии, что ArchestrA-based Security = либо OS Users, либо OS Groups).

[NewOrdered]

На любом АРМ-е существует как минимум 2 системы (схемы) безопасности (с учётками).
Первая - от ОС. Доменная или раб. группа; с электронными картами или без них. Со своими админами, мастерами, юзерами и ЧС.
Вторая - внутри проекта Wonderware. Также со своими админами, мастерами, юзерами и ЧС.
Они могут пересекаться, а могут и не пересекаться. Во втором случае вторая является подмножеством первой (либо OS-based Security, либо ArchestrA-based Security при условии, что ArchestrA-based Security = либо OS Users, либо OS Groups).

Я спрашиваю только про учетные записи ОС и только в контексте работоспособности программ и сервисов WW.

[Генератор зла]

Сервисы WW должны запускаться от имени локального админа. Строго рекомендуются только английские символы в логине/пароле (пароль не пустой).
Некоторые приложения WW (тот же Window Viewer) требуют для своего запуска пользователя уровня не ниже Опытного. Или через "Запустить от имени Администратора".
1. Сервисная учетная запись для запуска служб WW: права локального администратора, пароль без срока действия, интерактивный вход в систему невозможен.
Зачем запрещать интерактивный вход? А если потребуется по-шаманить с настройкой служб WW?
2. Учетная запись пользователя для входа в систему и запуска HMI/клиентского софта: без админских привилегий
Нюанс описал выше.
3. Учетная запись для администрирования рабочих станций/серверов: : права локального администратора
Да хоть глобального.