Как управлять правом входа в систему в качестве службы для виртуальной учетной записи с учетом групповой политики домена?

Я хотел бы использовать настройку SQL Server по умолчанию, которая запускает службу SQL Server с виртуальной учетной записью NT SERVICE \ MSSQLSERVER. Это гарантирует, что мой SQL Server имеет ограниченный доступ на его собственном компьютере и не имеет доступа к сетевым ресурсам в случае взлома. Однако в нашем домене также есть групповая политика, которая устанавливает права входа в систему в качестве службы для нескольких других (домена).

Вы, наверное, уже догадались, а может быть, даже испытали мою проблему:

Когда объект групповой политики домена применяется к серверу (по крайней мере, ежедневно), он отменяет назначение прав «Вход в качестве службы», которое было выполнено с помощью установки SQL Server (или SQL Server Config Mgr, или другой конфигурации политики локального компьютера). Затем настраивается этап для ошибки «Служба не запущена» при следующем перезапуске службы SQL Server, что может произойти через несколько часов или месяцев.

Вот что я знаю на данный момент:

• Я не могу добавить виртуальную учетную запись в объект групповой политики домена, потому что это локальный SID машины.
• Групповая политика домена переопределяет групповую политику локального компьютера, поэтому мне нужно что-то сделать с групповой политикой домена.

К сожалению, элемент «Назначение прав пользователя» находится в разделе «Параметры компьютера \ Параметры Windows \ Параметры безопасности \ Параметры локальной политики», потому что он не может ссылаться на учетные записи локального компьютера. Может, это вообще ошибка.

Вот подходы, которые я рассматриваю:

• Я мог бы исключить элемент GPO домена, который применяет право входа в систему как услугу, и выполнить эту операцию с помощью локальной групповой политики (на нескольких серверах).
• Я мог бы переместить сервер в OU, к которому не применен этот элемент GPO. В настоящее время вызывающий нарушение объект групповой политики - это моя политика домена по умолчанию, поэтому мне придется кое-что изменить.
• Я мог бы запустить какой-нибудь инструмент на каждом компьютере с SQL Server, чтобы восстановить вход в систему как службу сразу после запуска групповой политики домена или достаточно часто, чтобы меня редко ловили.

Есть ли у кого-нибудь другие предложения или рабочие решения, которые можно мне предложить?