如何以低权限服务账户运行Neo4j Windows服务（v3.5）

当然可以将Neo4j服务配置为低权限Windows账户运行，以下是具体实现方法，包括手动配置和自动化脚本方案：

前提准备 #

1. 创建一个低权限的本地Windows用户（建议禁用该用户的远程登录权限，进一步降低风险）
2. 给该用户分配Neo4j相关目录的必要权限：
   • Neo4j安装根目录
   • 数据目录（默认{安装目录}\data）
   • 日志目录（默认{安装目录}\logs）
     需要的权限包括：读取和执行、列出文件夹内容、写入

手动配置步骤 #

• 按下Win+R输入services.msc打开服务管理器
• 找到名为Neo4j的服务，右键选择「属性」
• 切换到「登录」选项卡，选择「此账户」，输入低权限账户的用户名（格式为.\用户名或域名\用户名）和密码
• 点击「确定」后，重启Neo4j服务使配置生效

自动化脚本实现 #

批处理脚本（管理员权限运行） #

@echo off
:: 配置参数
set "SERVICE_NAME=Neo4j"
set "LOW_PRIV_USER=.\Neo4jLowPrivUser"
set "USER_PASSWORD=YourSecurePassword"
set "NEO4J_INSTALL_PATH=C:\Neo4j"

:: 给低权限用户分配目录权限
icacls "%NEO4J_INSTALL_PATH%" /grant "%LOW_PRIV_USER%:(OI)(CI)M" /T

:: 修改服务登录账户
sc config "%SERVICE_NAME%" obj="%LOW_PRIV_USER%" password="%USER_PASSWORD%" type= own

:: 重启服务
net stop "%SERVICE_NAME%" >nul 2>&1
net start "%SERVICE_NAME%"

注意：替换脚本中的用户名、密码和Neo4j安装路径，确保以管理员身份执行

PowerShell脚本（管理员权限运行） #

# 配置参数
$serviceName = "Neo4j"
$lowPrivUser = ".\Neo4jLowPrivUser"
$userPassword = "YourSecurePassword"
$neo4jInstallPath = "C:\Neo4j"

# 转换密码为安全对象
$securePassword = ConvertTo-SecureString $userPassword -AsPlainText -Force
$credential = New-Object System.Management.Automation.PSCredential ($lowPrivUser, $securePassword)

# 分配目录权限
$acl = Get-Acl $neo4jInstallPath
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
    $lowPrivUser,
    "Modify",
    "ContainerInherit,ObjectInherit",
    "None",
    "Allow"
)
$acl.AddAccessRule($accessRule)
Set-Acl $neo4jInstallPath $acl

# 修改服务登录账户并重启
$service = Get-WmiObject Win32_Service -Filter "Name='$serviceName'"
$service.Change($null, $null, $null, $null, $null, $null, $credential.UserName, $credential.GetNetworkCredential().Password) | Out-Null
Restart-Service $serviceName -Force

注意：生产环境中建议避免明文存储密码，可通过读取加密的安全字符串文件来获取密码，提升安全性

内容的提问来源于stack exchange，提问作者Mike