Убедитесь что у вас есть разрешение на запуск системных служб

Как предоставить обычным пользователям права на запуск/остановку служб Windows?

По умолчанию обычные пользователи (без прав администратора) не могут управлять системными службами Windows. Это означает, что пользовали не могут остановить, запустить (перезапустить), изменить настройки и разрешения служб Windows. В этой статье мы разберем несколько способов управления правами на службы Windows. В частности, мы покажем, как предоставить обычному пользователю, без прав администратора Windows, права на запуск, остановку и перезапуск определенной службы.

Предположим, нам нужно предоставить доменной учетной записи contoso\tuser права на перезапуск службы печати (Print Spooler) с системным именем Spooler. При попытке перезапустить службу под пользователей появляется ошибка: System error 5 has occurred. Access is denied.

Простого и удобного встроенного инструмента для управления разрешениями на службы в Windows нет. Мы рассмотрим несколько способ предоставления пользователю прав на службу:

Какой из них проще и удобнее – решать Вам.

Управление правами на службы с помощью встроенной утилиты SC.exe (Service controller)

Стандартный, встроенный в Windows способ управления правами на службы системы предусматривает использование консольной утилиты sc.exe (Service Controller).

Главная, проблема – зубодробительный синтаксис формата предоставления прав на сервис (используется формат SDDL — Security Description Definition Language).

Получить текущие разрешения на службу в виде SDDL строки можно так:

sc.exe sdshow Spooler

Что значат все эти символы?

Первая буква после скобок означает: разрешить (A, Allow) или запретить (D, Deny).

Следующая пачка символов – назначаемые права.

Последние 2 буквы — объекты (группа пользователей или SID), котором нужно назначить права. Есть список предустановленных групп.

AO Account operators
RU Alias to allow previous Windows 2000
AN Anonymous logon
AU Authenticated users
BA Built-in administrators
BG Built-in guests
BO Backup operators
BU Built-in users
CA Certificate server administrators
CG Creator group
CO Creator owner
DA Domain administrators
DC Domain computers
DD Domain controllers
DG Domain guests
DU Domain users
EA Enterprise administrators
ED Enterprise domain controllers
WD Everyone
PA Group Policy administrators
IU Interactively logged-on user
LA Local administrator
LG Local guest
LS Local service account
SY Local system
NU Network logon user
NO Network configuration operators
NS Network service account
PO Printer operators
PS Personal self
PU Power users
RS RAS servers group
RD Terminal server users
RE Replicator
RC Restricted code
SA Schema administrators
SO Server operators
SU Service logon user

Можно вместо предустановленной группы явно указать пользователя или группу по SID. Получить SID пользователя для текущего пользователя можно с помощью команды:

или для любого пользователя домена с помощью PowerShell комаднлета Get-ADUser:

SID доменной группы можно получить с помощью командлета Get-ADGroup:

Чтобы назначить SDDL строку с правами на определённую службу, используется команда sc sdset. К примеру, права пользователю на службу spooler могут быть предоставлены следующей командой:
sc sdset Spooler «D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;RPWPCR;;;S-1-5-21-2133228432-2794320136-1823075350-1000)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)»

Предоставление прав на перезапуск службы с помощью SubInACL

Для управления правами служб Windows гораздо проще воспользоваться консольной утилитой SubInACL из комплекта Sysinternals от Марка Руссиновича (права на которую вместе с автором теперь принадлежат Microsoft). Синтаксис этой утилиты гораздо проще и удобнее для восприятия. Рассмотрим, как предоставить права перезапуск службы с помощью SubInACL:

Если вы все сделали верно, служба должна перезапуститься.

subinacl.exe /service Spooler /revoke=contoso\tuser

Process Explorer: Установка разрешений на службу

Достаточно просто изменить разрешения на службу с помощью еще одной утилиты Sysinternals — Process Explorer. Запустите Process Explorer с правами администратора и найдите в списке процессов процесс нужной вам службы. В нашем примере это spoolsv.exe (диспетчер очереди печати — C:\Windows\System32\spoolsv.exe). Откройте свойства процесса и перейдите на вкладку Services.

Нажмите на кнопку Permissions и в открывшемся окне добавьте пользователя или группу, которой нужно предоставить права на сервис и выберите уровень полномочий (Full Control/Write/Read).

Назначаем разрешения на службу с помощью PowerShell

В галерее TechNet имеется отдельный неофициальный модуль PowerShell для управления разрешениями на разные объекты Windows — PowerShellAccessControl Module (скачать его можно здесь). Этот модуль позволяет управлять правами на службы. Импортируйте модуль в свою PS сессию:

Получить эффективные разрешения на конкретную службу из PowerShell можно так:

Чтобы предоставить обычному пользователю права на запуск и остановку службы, выполните:

Используем шаблоны безопасности (Security Templates) для управления разрешениями служб

Более наглядный (но и требующий большего количества действий) графический способ управления правами на службы – с помощью шаблонов безопасности. Для реализации, откройте консоль mmc.exe и добавьте оснастку Security Templates.

Создадим новый шаблон (New Template).

Задайте имя нового шаблона и перейдите в раздел System Services. В списке служб выберите свою службу Print Spooler и откройте ее свойства.

Установите тип запуска (Automatic) и нажмите кнопку Edit Security.

С помощью кнопки Add добавьте учетную запись пользователя или группы, которым нужно предоставить права. В нашем случае, нам достаточно права Start, Stop and pause.

Сохраните шаблон (Save).

Если открыть этот файл, можно увидеть, что данные о правах доступа сохраняются в уже упомянутом ранее SDDL формате. Полученная таким образом строка может быть использована в качестве аргументы команды sc.exe.

Осталось с помощью оснастки Security Configuration and Analysis создать новую базу данных (Open Database) и импортировать новый шаблон безопасности из файла Spooler User Rights.inf.

Примените шаблон, вызвав из контекстного меню команду Configure Computer Now.

Теперь можно под пользователем проверить, что у него появились права на управление службой Print Spooler.

Управление правами служб через групповые политики

Если нужно раздать пользователям права запуска/остановки сервиса сразу на множестве северов или компьютерах домена, проще всего воспользоваться возможностями групповых политик (GPO).

Настройки безопасности для все служб, для которых вы изменили разрешения по-умолчанию хранятся в собственной ветке реестра HKLM\System\CurrentControlSet\Services\ \Security в параметре Security типа REG_BINARY.

Это означает, что одним из способов установки аналогичных разрешений на других компьютерах может быть экспорт/импорт данного параметра реестра (в том числе через GPO).

Итак, мы разобрали несколько способов управления правами на службы Windows, позволяющих предоставить произвольному пользователю любые права на системные службы. Если пользователю требуется удаленный доступ к службе, без предоставления ему прав локального входа в систему, нужно разрешить пользователю удаленно опрашивать Service Control Manager.

Источник

Исправляем ошибки при запуске служб Windows

1) Сначала определим действительное имя службы: Панель управления / Система и безопасность / Администрирование / Службы. Найдите нужную Вам и откройте ее свойства. Во вкладке «Общее» имя службы (рис. 1).

2) Искомое имя службы ищем в ветке в реестра: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices.

3) Правый клик по службе, и в контекстном меню выбираем пункт «Разрешения».

4) Для нормальной работы службы, группы «Система» и «Администраторы» должны иметь полный доступ (рис. 2).

II. Ошибка запуска службы. Эта ошибка означает, что у вас отключена служба. Чтобы запустить ее нужно сделать следующее:

2) В списке находим нужную. По двойному клику открываем свойства службы.

4) Если служба не включается то стоит проверить вкладку «Вход в систему» и убедиться что запуск службы производится от системной, или известной вам учетной записи.

1) В этом случае необходимо проверить параметр службы ImagePath: Он может быть изменен или указывать на несуществующий файл. Чтобы выяснить правильные параметры запуска службы воспользуйтесь справочником по службам.

Источник

Разрешения на запуск службы устранения неполадок в Windows Server 2003

В этой статье описывается устранение неполадок разрешений на запуск службы в среде Microsoft Windows Server 2003.

Применяется к: Windows Server 2003
Исходный номер КБ: 327545

Сводка

Следующие процедуры были задокументированы членом группы администраторов в системе Windows Server 2003 выпуск Enterprise.

Если служба не начинает работу из-за сбоя логотипа, сообщение об ошибке, аналогичное одному из следующих, может быть сгенерировано и отображается в журнале событий системы:

Сообщение об ошибке 1

Источник: Диспетчер управления службами
ID события: 7000
Описание:
Служба %service% не смогла запуститься из-за следующей ошибки:
Служба не начала работу из-за сбоя логотипа.

Данные не будут доступны.

Сообщение об ошибке 2

Источник: Диспетчер управления службами
ID события: 7013
Описание:
Попытка logon с текущим паролем не удалась со следующей ошибкой:
Ошибка logon: неизвестное имя пользователя или плохой пароль.

Данные не будут доступны.

Такое поведение может произойти, если одно или несколько из следующих условий верны:

Чтобы устранить эти проблемы, настройте службу на использование встроенной учетной записи системы, измените пароль указанной учетной записи пользователя в соответствие с текущим паролем для этого пользователя или восстановите право пользователя на вход в качестве службы. Эти методы описаны в следующих разделах этой статьи.

Разрешение 1. Настройка прав пользователей

Если право входа в качестве службы отозвано для указанной учетной записи пользователя, восстановите это право либо на контроллере домена, либо на отдельном сервере участника, в зависимости от обстоятельств.

Контроллер домена

Если пользователь находится в домене Active Directory, выполните следующие действия:

В меню Пуск выберите пункт Администрирование и затем пункт Active Directory — пользователи и компьютеры.

В дереве консоли щелкните правой кнопкой мыши организационную единицу, в которой пользователю предоставлено право входа в качестве службы. По умолчанию это находится в подразделении контроллеров домена.

Щелкните правой кнопкой мыши нужный контейнер и нажмите кнопку Свойства.

На вкладке Групповой политики нажмите кнопку Политика контроллеров домена по умолчанию и нажмите кнопку Изменить.

Это запускает диспетчер групповой политики.

Расширь конфигурацию компьютера, Windows Параметры, а затем Параметры.

Разойдитесь по локальным политикам, а затем нажмите кнопку Назначение прав пользователей.

В правой области щелкните правой кнопкой мыши войти в качестве службы, а затем нажмите кнопку Добавить пользователя или группы.

В поле Имена пользователей и групп введите имя, которое необходимо добавить в политику, а затем нажмите кнопку ОК.

Увольняйся с руководителя групповой политики, закрой свойства групповой политики, а затем выйди из оснастки пользователей и компьютеров Microsoft Management Console (MMC).

Сервер участника

Если пользователь является членом отдельного сервера-участника, выполните следующие действия:

Разрешение 2. Настройка сведений о логотипе службы

Настройте пароль для указанной учетной записи пользователя в соответствие с текущим паролем для этого пользователя. Для этого выполните следующие действия:

Разрешение 3. Настройка службы для запуска со встроенной учетной записью системы

Если служба по-прежнему не работает с указанной учетной записью пользователя, можно настроить службу для запуска со встроенной учетной записью системы. Для этого выполните следующие действия:

Нажмите кнопку Пуск, последовательно выберите пункты Администрирование и Службы.

Щелкните правой кнопкой мыши службу, которую вы хотите, а затем нажмите свойства.

Щелкните вкладку Журнал в журнале, щелкните учетную запись локальной системы и нажмите кнопку Применить.

Обычно не нужно настраивать службу для взаимодействия с настольным компьютером, поэтому не нужно выбирать службу Разрешить взаимодействовать с настольным чеком.

Щелкните вкладку General и нажмите кнопку Пуск для перезапуска службы.

Закрой средство Services. При попытке открыть свойства службы с помощью средства Services в панели управления компьютер может перестать отвечать, после чего вы можете получить следующее сообщение об ошибке:

Эта проблема может возникнуть, если служба удаленного вызова процедуры (RPC) не запущена из-за сбоя логотипа с этой службой или службой зависимостей. Некоторые службы имеют службы зависимостей, которые не начинаются до начала работы служб зависимостей (например, службы Рабочих станций).

Источник

Ошибка 1920 при установке, убедитесь в наличии необходимых прав для запуска системных служб

Ошибка 1920 при установке FineReader 9.0
Подскажите, с чем может быть связана следующая ошибка, которая возникает в конце установки.

Нет прав запуска служб
Windows 7 Home basic. Права администратора. При установке программы возникает ощибка (просит.

Скрипт для запуска служб
Добрый день, Форумчане! За ранее извиняюсь, если пишу не в той теме, ибо не знал куда и.

Совершенно не разбираюсь, я указал, что пишет ошибка. Как я понял PostgreSQLite – это название службы. А пытается установиться PostgreSQL. Устанавливается он вместе с программой (если поставить галочку). Но я также и отдельно скачивал ехе и выдаёт ту же ошибку.

Из-за чего это может быть?

Вложения

example.zip (124.8 Кб, 2 просмотров)

Не может запустить setupPSQL.bat, либо что-то в этом файле с ошибкой сделано.
Посмотрите на его содержимое, попробуйте повторить в ручном режиме
(не лишне предупредить, что надо бы смотреть, что выполняете, чтобы не выполнить лишнего,
а то неизвестно где вы это все скачали, занесете заразу какую-нибудь).

Ну и если у вас свой специфический софт, под который доработали ПГ, то лучше обратиться к разрабам этого софта с этой проблемой. Будет больше толку.

Источник

Разрешение на запуск системных служб windows 7. Запуск, остановка и настройка системных служб

– это системные программы, которые запускаются на компьютере вместе со стартом Windows и выполняют возложенные на них функции.

Упрощенно можно сказать что порт — это некий канал, позволяющий попасть определенным данным на ваш компьютер извне, то есть из компьютерной сети (интернет). Различные вредоносные программы обычно скандируют компьютер на наличие открытых портов, чтобы с их помощью незаметно передать какие-либо данные. Это означает, что чем больше на компьютере открытых портов, тем больше уязвимость компьютера. Ну и поскольку стандартные службы часто запущены по умолчанию и многие пользователи просто не обращают на них внимание, то данный факт успешно используют злоумышленники. Все же думаю что уже ни для кого не является секретом, что компьютеры взламывают не люди, а программы. Существует масса программ, которые сканируют сеть на наличие компьютеров с определенными типами уязвимостей. Именно такие компьютеры и используются в дальнейшем для атаки или заражения.

Отвлекаясь немного от темы, хочу еще раз подчеркнуть, что легкомыслие многих пользователей, считающих что до их скромной персоны никому нет дела, приносит порой большие неприятности… Не стоит думать, что кто-то именно на вас точит зуб. В большинстве случаев злоумышленнику нужен ваш компьютер, а вовсе не вы. Зачем ему ваш компьютер? Возможно я напишу заметки на эту тему, но чуть позже. Если же хотите получить ответ на этот вопрос сейчас, то проделайте небольшую «самостоятельную работу» и поищите в интернете информацию по запросу «ботнет ».

Но можно ли как-то влиять на запуск системных служб? Да, можно, но делать это нужно осознанно. Множество системных служб взаимосвязаны друг с другом и отключив одну из них вы можете нарушить работу операционной системы, поэтому перед отключением или остановкой службы всегда нужно разобраться с тем, для чего эта служба нужна. Сделать это очень просто: во-первых, есть описание в самой службе, во-вторых, есть интернет и, задав вопрос Яндексу или Гуглу, вы всегда получите исчерпывающую информацию.

Чтобы получить доступ к службам Windows необходимо открыть соответствующую консоль. Делается это либо через (Администрирование — Службы )

Чтобы получить информацию по конкретной службе и изменить ее настройки, необходимо дважды щелкнуть на ней левой кнопкой мыши. Для каждой службы можно выбрать один из трех типов запуска.

И системные службы Windows 7, а точнее их умелая настройка нам в этом поможет.
На какие же именно службы стоит обратить внимание.

Естественно на те, которые постоянно работают. В оснастке «Службы» собственно самисистемные службыWindows 7 можно группировать по полям таблицы в которой они представлены по умолчанию. В этой таблице указано: имя службы, краткое описание функций службы, тип запуска, вход от имени.

То есть это те службы, которые всегда запущены, а значит, всегда расходуют системное время процессора и оперативную память. Поэтому этот тип запуска стоит оставлять только тем службам, которые вам действительно нужны. К примеру, по умолчанию тип запуска «автоматический» стоит у служб поддержки сети: DHCP-клиент и DNS-клиент. Эти службы вам абсолютно не нужны, если вы не подключены и не собираетесь подключаться к локальной сети или глобальной сети.

Если же вы переведёте тип запуска службы «Windows Audio» в положение «отключено», то вы не сможете наслаждаться воспроизведением музыки и звуков на вашем компьютере. Причём, возможно, что при этом некоторые программы или игры могут совсем перестать загружаться, не обнаружив требуемой для работы службы (то же самое, кстати, касается и всех остальных служб, в том числе DHCP-клиент и DNS-клиент).

Так же существуют системные службы Windows 7 в чьи «обязанности» входит не выполнение каких-либо активных или фоновых задач, а лишь ведение протоколов работы других служб, например, служба «Журнал событий Windows».

Чем очень удобна Windows 7, так это тем, что практически по любой из существующих стандартных системных служб Windows 7 существует объёмная справка или хотя бы исчерпывающее описание. В рамках одной статьи невозможно раскрыть все особенности каждой из существующих в операционной системе служб, однако можно составить представление, по какому принципу вычислять критически важные службы.

Для начала необходимо хотя бы изучить описание, в котором предоставляется информация по службе. Рассмотрим службу под названием «Служба загрузки изображений Windows (WIA»). В графе «Описание» указано следующее: «Обеспечивает службы получения изображений со сканеров и цифровых камер». А теперь задумайтесь: сможете ли вы отсканировать фотографию или страницу учебника, если отключить эту службу? Конечно, нет!

Соответственно принимать решение о функционировании той или иной системной службе Windows 7 необходимо отталкиваясь от повседневных нужд и потребностей вас как пользователя.

Параметры политики системных служб отвечают за общую безопасность и режим запуска локальных служб. Чтобы запустить, остановить или настроить системную службу, выполните действия указанные нами в продолжении темы.

1. В узле Системные службы (System Services) собраны все службы, установленные в данный момент на компьютере. В списке указаны имя, способ запуска и информация о разрешениях. Работая с системными службами, следует помнить о следующем:

Если шаблон не изменяет конфигурацию запуска службы, в столбце Автозагрузка (Startup) стоит значение Не определено (Not Defined). Иначе способ запуска описывается одним из следующих значений: Автоматический (Automatic), Вручную (Manual) или Запрещен (Disabled).

Если шаблон не изменяет конфигурацию безопасности службы, в столбце Разрешение (Permission) стоит значение Не определено (Not Defined). Иначе конфигурация безопасности определена значением Настроено (Configured).

2. Щелкните дважды системную службу, чтобы открыть диалоговое окно ее свойств. Чтобы определить и применить параметр политики, установите флажок Определить следующий параметр ноли-тики в шаблоне (Define This Policy Setting In The Template). Чтобы не применять политику, сбросьте этот флажок.

3. Задайте способ запуска службы, установив переключатель Автоматический (Automatic), Вручную (Manual) или Запрещен (Disabled). При этом помните о следующем:

Автоматический запуск службы производится при запуске операционной системы. Такой режим следует устанавливать для основных служб, в чьей надежности вы не сомневаетесь. Эти службы должны в обязательном порядке запускаться на компьютере, к которому применен шаблон.

Ручной запуск означает, что автоматически служба запускать не будет. Выбирайте этот способ для ненужных или неиспользуемых служб, а также служб, в безопасности которых вы не уверены.

Запрет запуска службы относится как к автоматическому, так и к ручному режиму. Задавайте этот параметр только для ненужных или неиспользуемых служб.

4. Если вам известна конфигурация безопасности, которую должна использовать служба, щелкните Изменить параметры (Edit Security) и задайте разрешения для службы в диалоговом окне Безопасность для (Security For). Здесь вы молсете разрешить отдельным пользователям и группам запускать, останавливать и приостанавливать службы на компьютере.

Источник