Предоставление пользователям прав на управление службами

В этой статье описано, как предоставить пользователям права на управление службами.

Исходная версия продукта: Windows Server 2003
Исходный номер КБ: 325349

Аннотация

В этой статье описывается, как предоставить пользователям полномочия по управлению системные службы в Windows Server 2003.

По умолчанию запуск, остановка, приостановка, возобновление или перезапуск службы могут только члены группы администраторов. В этой статье описываются методы, которые можно использовать для предоставления пользователям соответствующих прав на управление службами.

Метод 1. Использование групповой политики

Для изменения разрешений системных служб можно использовать групповую политику. Для получения дополнительных сведений щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:
324802 HOW TO: Configure Group Policies to Set Security for System Services in Windows Server 2003

Метод 2. Использование шаблонов безопасности

Чтобы использовать шаблоны безопасности для изменения разрешений для системных служб, создайте шаблон безопасности, вы можете сделать следующее:

Нажмите кнопку «Начните», нажмите кнопку«Выполнить», введите «MMC» в поле «Открыть» и нажмите кнопку «ОК».

В меню «Файл» выберите пункт «Добавить или удалить оснастку».

Нажмите кнопку «Добавить»,«Конфигурация безопасности и анализ», «Добавить»,«Закрыть» и «ОК».

В дереве консоли щелкните правой кнопкой мыши «Конфигурация безопасности и анализ» и выберите «Открыть базу данных».

Укажите имя и расположение базы данных и нажмите кнопку «Открыть».

В открываемом диалоговом окне «Импорт шаблона» выберите шаблон безопасности, который нужно импортировать, и нажмите кнопку «Открыть».

В дереве консоли щелкните правой кнопкой мыши «Конфигурация безопасности и анализ» и выберите «Анализ компьютера».

В отображаемом диалоговом окне «Выполнение анализа» примите путь по умолчанию для файла журнала, отображаемого в поле пути к файлу журнала ошибок, или укажите нужное расположение и нажмите кнопку «ОК».

После завершения анализа настройте разрешения служб следующим образом:

1. В дереве консоли щелкните «Системные службы».
2. В правой области дважды щелкните службу, разрешения которой нужно изменить.
3. Щелкните, чтобы выбрать политику «Определить эту политику» в поле «База данных», а затем нажмите кнопку «Изменить безопасность».
4. Чтобы настроить разрешения для нового пользователя или группы, нажмите кнопку «Добавить». В диалоговом окне «Выбор пользователей, компьютеров или групп» введите имя пользователя или группы, для которого необходимо установить разрешения, а затем нажмите кнопку «ОК».
5. В списке «Разрешения для пользователей или групп» настройте разрешения, которые нужны пользователю или группе. При добавлении нового пользователя или группы по умолчанию выбирается разрешение «Разрешить» рядом с разрешением «Начните», «Остановить» и «Приостановить». Этот параметр позволяет пользователю или группе запустить, остановить и приостановить службу.
6. Два раза нажмите кнопку ОК .

Чтобы применить новые параметры безопасности к локальному компьютеру, щелкните правой кнопкой мыши «Конфигурация безопасности и анализ» и выберите «Настроить компьютер».

Вы также можете использовать средство командной строки Secedit для настройки и анализа безопасности системы. Для получения дополнительных сведений о Secedit нажмите кнопку «Начните» и выберите «Выполнить». Введите cmd в поле «Открыть» и нажмите кнопку «ОК». В командной подсказке введите secedit /? и нажмите ввод. Обратите внимание, что при использовании этого метода для применения параметров все параметры в шаблоне повторно применяются, и это может переопределять другие ранее настроенные разрешения файлов, реестра или служб.

Метод 3. Использование Subinacl.exe

Последний метод назначения прав на управление службами включает использование Subinacl.exe из комплекта ресурсов Windows 2000. Используется следующий синтаксис:

SUBINACL /SERVICE \ \MachineName\ServiceName /GRANT=[DomainName ] UserName[=Access]

Пользователь, который выполняет эту команду, должен иметь права администратора для успешного выполнения этой команды.

Если имя компьютера опущено, предполагается локальный компьютер.

Если domainName опущен, поиск учетной записи ведется на локальном компьютере.

Хотя в примере синтаксиса указано имя пользователя, это также будет работать и для групп пользователей.

Доступные для Access значения:

F : полный контроль
R : универсальное чтение
W : Generic Write
X : Generic eXecute
L : Read controL
Вопрос: конфигурация службы запросов
S : состояние службы запросов
E : Enumerate Dependent Services
C : конфигурация изменения службы
T : Запуск службы
O : Stop Service
P : Pause/Continue Service
I : Опрашиваемая служба
U : Service User-Defined Control Commands

Если Access опущен, предполагается, что имеется «F (полный доступ)».

Subinacl поддерживает аналогичные функции по отношению к файлам, папок и ключам реестра. Дополнительные сведения см. в комплекте ресурсов для Windows 2000.

Автоматизация нескольких изменений

С помощью Subinacl нельзя указать параметр, который будет устанавливать необходимый доступ для всех служб на определенном компьютере. Однако в следующем примере сценария демонстрируется один из способов расширения метода 3 для автоматизации задачи:

Сохраните сценарий в VBS-файле, например «Services.vbs», и вызовите его следующим образом:

CSRIPT Services.vbs DomainName ComputerName UserName Access

Закомментайте или удалите строку «Wscript.Echo. » если отзывы не требуются.

В этом примере не проверяется ошибка; Поэтому используйте его осторожно.

Устранение неполадок при запуске службы в Windows Server 2003

В этой статье описывается устранение неполадок при запуске служб в среде Microsoft Windows Server 2003.

Исходная версия продукта: Windows Server 2003
Исходный номер КБ: 327545

Аннотация

Следующие процедуры задокументированы участником группы администраторов в системе под управлением Windows Server 2003 Enterprise Edition.

Если служба не запустится из-за сбоя входа, в системном журнале событий может возникнуть сообщение об ошибке, аналогичное одному из следующих:

Сообщение об ошибке 1

Источник: диспетчер управления службами
ИД события: 7000
Описание:
Не удалось запустить службу %service% из-за следующей ошибки:
Служба не запустится из-за сбоя при запуске.

Данные не будут доступны.

Сообщение об ошибке 2

Источник: диспетчер управления службами
ИД события: 7013
Описание:
Ошибка при попытке доступа к учетной записи с текущим паролем со следующей ошибкой:
Ошибка при работе с пользователем: неизвестное имя пользователя или плохой пароль.

Данные не будут доступны.

Это может произойти, если верно одно или несколько из следующих условий:

• Пароль учетной записи, с которой настроена служба для входа в систему, изменен.
• Данные паролей в реестре повреждены.
• Право на вход в качестве службы отзывается для указанной учетной записи пользователя.

Чтобы устранить эти проблемы, настройте службу для использования встроенной системной учетной записи, измените пароль указанной учетной записи пользователя в соответствие с текущим паролем этого пользователя или восстановите право пользователя на вход в качестве службы. Эти методы описаны в следующих разделах данной статьи.

Решение 1. Настройте права пользователей

Если право на вход в качестве службы отозвано для указанной учетной записи пользователя, восстановите это право либо на контроллере домена, либо на отдельном сервере-члене в зависимости от обстоятельств.

Контроллер домена

Если пользователь находится в домене Active Directory, выполните следующие действия.

В меню Пуск выберите пункт Администрирование и затем пункт Active Directory — пользователи и компьютеры.

В дереве консоли щелкните правой кнопкой мыши подразделение, в котором предоставлено право пользователя на вход в качестве службы. По умолчанию он находится в подразделении «Контроллеры домена».

Щелкните нужный контейнер правой кнопкой мыши и выберите «Свойства».

На вкладке «Групповая политика» выберите политику контроллеров домена по умолчанию и нажмите кнопку «Изменить».

Запускается диспетчер групповых политик.

Раз развернуть конфигурацию компьютера, развернуть параметры Windows, а затем развернуть параметры безопасности.

Разйдите «Локальные политики» и щелкните «Назначение прав пользователя».

В правой области щелкните правой кнопкой мыши «Войти как услуга» и выберите «Добавить пользователя или группу».

В поле «Имена пользователей и групп» введите имя, которое нужно добавить в политику, и нажмите кнопку «ОК».

Закрой диспетчер групповых политик, закрой свойства групповой политики, а затем выкрой оснастку «Пользователи и компьютеры Active Directory» консоли управления (MMC).

Сервер-член

Если пользователь является членом отдельного рядового сервера, выполните следующие действия.

1. Запустите оснастку «Локальные параметры безопасности» MMC.
2. Разйдите «Локальные политики» и щелкните «Назначение прав пользователя».
3. В правой области щелкните правой кнопкой мыши «Войти как услуга» и выберите «Добавить пользователя или группу».
4. В поле «Имена пользователей и групп» введите имя, которое нужно добавить в политику, и нажмите кнопку «ОК».
5. Выйти из оснастки «Локальные параметры безопасности» MMC.

Решение 2. Настройка сведений о службе для логотипа

Настройте пароль для указанной учетной записи пользователя, чтобы он совпадал с текущим паролем для этого пользователя. Для этого выполните следующие действия:

1. Нажмите кнопку Пуск, последовательно выберите пункты Администрирование и Службы.
2. Щелкните правой кнопкой мыши службу и выберите «Свойства».
3. Перейдите на вкладку «Вход», измените пароль и нажмите кнопку «Применить».
4. Щелкните вкладку «Общие», а затем нажмите кнопку «Пуск», чтобы перезапустить службу.
5. Нажмите кнопку«ОК» и закроем средство «Службы».

Решение 3. Настройте службу для запуска со встроенной системной учетной записью

Если служба по-прежнему не работает с указанной учетной записью пользователя, можно настроить службу для запуска со встроенной системной учетной записью. Для этого выполните следующие действия:

Нажмите кнопку Пуск, последовательно выберите пункты Администрирование и Службы.

Щелкните правой кнопкой мыши службу и выберите «Свойства».

Щелкните вкладку «Вход в систему», выберите «Учетная запись локальной системы» и нажмите кнопку «Применить».

Обычно не нужно настраивать службу для взаимодействия с рабочим столом, поэтому не нужно выбирать службу «Разрешить» для взаимодействия с настольным компьютером.

Щелкните вкладку «Общие», а затем нажмите кнопку «Пуск», чтобы перезапустить службу.

Закроем средство «Службы». При попытке открыть свойства службы с помощью средства «Службы» панели управления компьютер может перестать отвечать, после чего может появиться следующее сообщение об ошибке:

Эта проблема может возникнуть, если служба удаленного вызова процедур (RPC) не запущена из-за сбоя при регистрации в этой службе или службе зависимостей. Некоторые службы имеют службы зависимостей, которые не запускаться, пока их службы зависимостей не будут запускаться первыми (например, служба Workstation).

Редактирование параметров запуска служб в Windows

В данной статье будет рассказано о том, как отредактировать параметры запуска служб в Windows на примере службы «Агент сервера 1С:Предприятия 8.3». Будет показано как настроить тип запуска служб, изменить учетные данные для запуска службы, а также изменить параметры запуска исполняемого файла службы.

0. Оглавление

1. Изменение настроек запуска службы

Предположим у нас имеется работающая служба, пусть это будет «Агент сервера 1С:Предприятия 8». Для того что бы отредактировать свойства запуска данной службы перейдем в оснастку «Службы» (Services).

В Microsoft Windows Server 2012 эту оснастку можно найти в Диспетчере серверов (Server Manager), пункт меню «Средства» (Tools) — «Службы» (Services).

В Microsoft Windows Server 2008 R2 в меню «Пуск» (Start) — «Администрирование» (Administrative Tools) — «Службы» (Services)

Ну или в любой версии Windows можно выполнить команду services.msc. Для этого необходимо нажать комбинацию клавиш Win + R, в открывшемся окне «Выполнить» (Run) ввести имя команды в поле «Открыть» (Open) и нажать «ОК».

Далее в открывшейся оснастке, в списке служб находим службу, параметры запуска которой необходимо отредактировать.

Кликаем два раза по имени службы, чтобы открыть ее свойства. В окне свойств службы можно отредактировать нижеперечисленные параметры запуска службы.

На закладке «Общие» (General) можно настроить тип запуска службы (Startup type) — Автоматически (Automatic), Вручную (Manual), Отключена (Disabled) или Автоматически (отложенный запуск) (Automatic (Delayed Start)), выбрав соответствующий вариант из списка. А также возможно Остановить (Stop), Приостановить (Pause) или Запустить (Start) данную службу.

На закладке «Вход в систему» (Log on) можно настроить параметры учетной записи (account), от которой будет запускаться выбранная служба. Возможно настроить запуск от системной учетной записи (Local System account), или выбрать конкретного пользователя Windows, указав его имя и пароль.

На закладке «Восстановление» (Recovery) можно задать действия, которые будет выполнять система при сбое службы.

На закладке «Зависимости» (Dependencies) можно настроить зависимость запуска службы от различных компонент системы.

2. Изменение параметров запуска исполняемого файла службы

В окне свойств службы, на закладке «Общие» (General) возможно просмотреть путь к исполняемому файлу службы, а также увидеть передаваемые для его запуска параметры.

Однако эта информация доступна только для чтения. Изменить строку запуска исполняемого файла службы можно с помощью системного реестра Windows.

Для запуска системного реестра, следует выполнить команду regedit.exe. Для этого необходимо нажать комбинацию клавиш Win + R, в открывшемся окне «Выполнить» (Run) ввести имя команды в поле «Открыть» (Open) и нажать «ОК».

В первую очередь при работе с реестром Windows необходимо сделать бэкап, выполнив экспорт всего реестра.

После этого в дереве папок слева переходим по пути:

Затем в списке выделим группу с именем службы, свойства которой необходимо отредактировать. При этом, в окне справа увидим все параметры данной службы.

Кликаем 2 раза по имени параметра, который необходимо изменить и вводим новое значение.

Например, пусть нам необходимо запустить сервер «1С:Предприятие» в режиме отладки, т. е. добавить в строку запуска параметр -debug. Для этого меняем значение параметра ImagePath.

Нажимаем «ОК», для сохранения изменений и закрываем редактор реестра.

Перезапускаем службу для того, чтобы изменения вступили в силу. Сделать это моно также из оснастки «Службы» (Services), кликнув правой кнопкой мыши по имени службы в списке и выбрав в контекстном меню «Перезапустить» (Restart).

На этом все. Изменения вступили в силу, соответственно агент сервера запущен в режиме отладки.

Смотрите также:

Здесь будет рассказано как изменить политику паролей в Windows Server 2008. По умолчанию все пароли в Windows должны отвечать политике безопасности, а именно: Не содержать имени учетной записи пользователя…

Ниже будет рассказано о том, как добавить новое правило в Брандмауэр Windows Server 2008 R2. А конкретнее, будем добавлять разрешающее правило для порта 1433, который использует Microsoft SQL Server 2008 R2 или, как…

Ниже приведена небольшая инструкция об изменении политики паролей в Microsoft Windows Server 2012 R2. По умолчанию политика паролей определена таким образом, что все пароли учетных записей пользователей должны удовлетворять следующим…