权限 – 是否可以使用组策略授予管理Windows服务的权限？

一个非常轻微的警告：我看到一些服务不喜欢基于组策略的修改对服务的默认权限的情况(如果你想看看我在说什么,请查看关于Windows搜索服务的帖子关于：http://peeved.org/blog/2007/12/07),但这在我的经历中并不常见.

要在组策略编辑器中“查看”服务,您需要在安装了该服务的计算机上进行编辑. (如果这是一个股票Windows服务,那么它没什么大不了的,但是如果它是安装它的机器上的第三方获取的东西,“runas”MMC的副本,并抢占针对GPO的组策略编辑器你想把这些设置放在哪里.)

在“计算机设置”,“Windows设置”,“安全设置”和“系统服务”下,找到要授予启动/停止权限的服务,并定义策略设置.您必须选择启动类型.单击“编辑安全性”并修改默认ACL以包括您要查找的权限.

我建议在受限制的计算机组上测试GPO(通过将GPO连接到使用单台计算机的测试OU,或者将GPO过滤到只有一台计算机)并确保它在您运行之前完成所需的操作更改所有计算机上的安全性只是为了找出它不能做你想要的.

以下是ACE中各种条目对服务意味着什么的背景知识：

> http://support.microsoft.com/kb/914392
> http://msmvps.com/blogs/alunj/archive/2006/02/13/83472.aspx

要以SDDL表示法查看描述符,请使用“sc sdshow service-name”命令.

编辑：

授权创建新服务将会有点困难.有一个“SC_MANAGER_CREATE_SERVICE”权限可以授予全局对象管理器中服务控制管理器(SCM)对象上的用户.

在Windows Server 2003之前的Windows版本中,无法在SCM上更改权限.从W2K3 SP1开始,您可以更改SCM上的权限.

用于更改安全性的API是SetServiceObjectSecurity,此处提供了更多信息：http://msdn.microsoft.com/en-us/library/aa379589(VS.85).aspx

更多参考资料：可以授予SCM的权限和SCM上设置的默认DACL可在此处获取：http://msdn.microsoft.com/en-us/library/ms685981(VS.85).aspx

简而言之,没有办法做这个没有编写代码.没有神奇的注册表设置等.但是,如果你能让某人为你编写代码,那么它是完全可行的.