Права для запуска системных служб windows 10 - Доктор Windows

По умолчанию обычные пользователи (без прав администратора) не могут управлять системными службами Windows. Это означает, что пользовали не могут остановить, запустить (перезапустить), изменить настройки и разрешения служб Windows. В этой статье мы разберем несколько способов управления правами на службы Windows. В частности, мы покажем, как предоставить обычному пользователю, без прав администратора Windows, права на запуск, остановку и перезапуск определенной службы.

Предположим, нам нужно предоставить доменной учетной записи contosotuser права на перезапуск службы печати (Print Spooler) с системным именем Spooler. При попытке перезапустить службу под пользователей появляется ошибка:
System error 5 has occurred. Access is denied.

Простого и удобного встроенного инструмента для управления разрешениями на службы в Windows нет. Мы рассмотрим несколько способ предоставления пользователю прав на службу:

Содержание:

Управление правами на службы с помощью встроенной утилиты SC.exe (Service controller)
Предоставление прав на перезапуск службы с помощью SubInACL
Process Explorer: Установка разрешений на службу
Назначаем разрешения на службу с помощью PowerShell
Используем шаблоны безопасности (Security Templates) для управления разрешениями служб
Управление правами служб через групповые политики

Какой из них проще и удобнее – решать Вам.

Управление правами на службы с помощью встроенной утилиты SC.exe (Service controller)

Стандартный, встроенный в Windows способ управления правами на службы системы предусматривает использование консольной утилиты sc.exe (Service Controller).

Главная, проблема – зубодробительный синтаксис формата предоставления прав на сервис (используется формат SDDL — Security Description Definition Language).

Получить текущие разрешения на службу в виде SDDL строки можно так:

sc.exe sdshow Spooler

D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA) (A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

Что значат все эти символы?

S: — System Access Control List (SACL)
D: — Discretionary ACL (DACL)

Первая буква после скобок означает: разрешить (A, Allow) или запретить (D, Deny).

Следующая пачка символов – назначаемые права.

CC — SERVICE_QUERY_CONFIG (запрос настроек служы)
LC — SERVICE_QUERY_STATUS (опрос состояния служы)
SW — SERVICE_ENUMERATE_DEPENDENTS (опрос зависимостей)
LO — SERVICE_INTERROGATE
CR — SERVICE_USER_DEFINED_CONTROL
RC — READ_CONTROL
RP — SERVICE_START (запуск службы)
WP — SERVICE_STOP (остановка службы)
DT — SERVICE_PAUSE_CONTINUE (приостановка, продолжение службы)

Последние 2 буквы — объекты (группа пользователей или SID), котором нужно назначить права. Есть список предустановленных групп.

AU Authenticated Users

NO Network configuration operators
NS Network service account
PO Printer operators
PS Personal self
PU Power users
RS RAS servers group
RD Terminal server users
RE Replicator
RC Restricted code
SA Schema administrators
SO Server operators
SU Service logon user

Можно вместо предустановленной группы явно указать пользователя или группу по SID. Получить SID пользователя для текущего пользователя можно с помощью команды:

whoami /user

или для любого пользователя домена с помощью PowerShell комаднлета Get-ADUser:

Get-ADUser -Identity 'iipeshkov' | select SID

SID доменной группы можно получить с помощью командлета Get-ADGroup:

Get-ADGroup -Filter {Name -like "msk-helpdesk*"} | Select SID

Чтобы назначить SDDL строку с правами на определённую службу, используется команда sc sdset. К примеру, права пользователю на службу spooler могут быть предоставлены следующей командой:
sc sdset Spooler "D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;RPWPCR;;;S-1-5-21-2133228432-2794320136-1823075350-1000)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"

Предоставление прав на перезапуск службы с помощью SubInACL

Для управления правами служб Windows гораздо проще воспользоваться консольной утилитой SubInACL из комплекта Sysinternals от Марка Руссиновича (права на которую вместе с автором теперь принадлежат Microsoft). Синтаксис этой утилиты гораздо проще и удобнее для восприятия. Рассмотрим, как предоставить права перезапуск службы с помощью SubInACL:

Скачайте subibacl,msi со страницы (https://www.microsoft.com/en-us/download/details.aspx?id=23510) и установите ее на целевой системе;
В командной строке с правами администратора перейдите в каталог с утилитой:
cd “C:Program Files (x86)Windows Resource KitsTools
”
Выполните команду:
subinacl.exe /service Spooler /grant=contosotuser=PTO

Примечание. В данном случае мы дали пользователю права на приостановку (Pause/Continue), запуск (Start) и остановку (Stop) службы. Полный список доступных разрешений:
F : Full Control R : Generic Read W : Generic Write X : Generic eXecute L : Read controL Q : Query Service Configuration S : Query Service Status E : Enumerate Dependent Services C : Service Change Configuration T : Start Service O : Stop Service P : Pause/Continue Service I : Interrogate Service U : Service User-Defined Control Commands

Если нужно предоставить права на службу, запущенную на удаленном компьютере, используйте следующий синтаксис команды subinacl:
subinacl /SERVICE \msk-buh01spooler /grant=contosotuser=F
Осталось войти в данную систему под учетной записью пользователя и попробовать перезапустить службу командами:
net stop spooler net start spooler

или
sc stop spooler && sc start spooler

Если вы все сделали верно, служба должна перезапуститься.

Чтобы лишить пользователя назначенных прав на службу в subinacl.exe используется параметр
/revoke
, например:

subinacl.exe /service Spooler /revoke=contosotuser

Process Explorer: Установка разрешений на службу

Достаточно просто изменить разрешения на службу с помощью еще одной утилиты Sysinternals — Process Explorer. Запустите Process Explorer с правами администратора и найдите в списке процессов процесс нужной вам службы. В нашем примере это spoolsv.exe (диспетчер очереди печати — C:WindowsSystem32spoolsv.exe). Откройте свойства процесса и перейдите на вкладку Services.

Нажмите на кнопку Permissions и в открывшемся окне добавьте пользователя или группу, которой нужно предоставить права на сервис и выберите уровень полномочий (Full Control/Write/Read).

Назначаем разрешения на службу с помощью PowerShell

В галерее TechNet имеется отдельный неофициальный модуль PowerShell для управления разрешениями на разные объекты Windows — PowerShellAccessControl Module (скачать его можно здесь). Этот модуль позволяет управлять правами на службы. Импортируйте модуль в свою PS сессию:

Import-Module PowerShellAccessControl

Получить эффективные разрешения на конкретную службу из PowerShell можно так:

Get-Service spooler | Get-EffectiveAccess -Principal corptuser

Чтобы предоставить обычному пользователю права на запуск и остановку службы, выполните:

Get-Service spooler | Add-AccessControlEntry -ServiceAccessRights Start,Stop -Principal corptuser

Используем шаблоны безопасности (Security Templates) для управления разрешениями служб

Более наглядный (но и требующий большего количества действий) графический способ управления правами на службы – с помощью шаблонов безопасности. Для реализации, откройте консоль mmc.exe и добавьте оснастку Security Templates.

Создадим новый шаблон (New Template).

Задайте имя нового шаблона и перейдите в раздел System Services. В списке служб выберите свою службу Print Spooler и откройте ее свойства.

Установите тип запуска (Automatic) и нажмите кнопку Edit Security.

С помощью кнопки Add добавьте учетную запись пользователя или группы, которым нужно предоставить права. В нашем случае, нам достаточно права Start, Stop and pause.

Сохраните шаблон (Save).

Примечание. Содержимое шаблона безопасности сохраняется в inf файле в каталоге C:UsersusernameDocumentsSecurityTemplates.

Если открыть этот файл, можно увидеть, что данные о правах доступа сохраняются в уже упомянутом ранее SDDL формате. Полученная таким образом строка может быть использована в качестве аргументы команды sc.exe.

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[Service General Setting]
"Spooler",2,"D:AR(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;RPWPDTRC;;;S-1-5-21-3243688314-1354026805-3292651841-1127)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"

Осталось с помощью оснастки Security Configuration and Analysis создать новую базу данных (Open Database) и импортировать новый шаблон безопасности из файла Spooler User Rights.inf.

Примените шаблон, вызвав из контекстного меню команду Configure Computer Now.

Теперь можно под пользователем проверить, что у него появились права на управление службой Print Spooler.

Управление правами служб через групповые политики

Если нужно раздать пользователям права запуска/остановки сервиса сразу на множестве северов или компьютерах домена, проще всего воспользоваться возможностями групповых политик (GPO).

Создайте новую или отредактируйте существующую GPO, назначьте ее на нужный контейнер с компьютерами в Active Directory. Перейдите в раздел политик Computer configuration -> Windows Settings -> Security Settings -> System Services;
Найдите службу Spooler и аналогично методике с шаблонами безопасности, рассмотренной ранее, предоставьте права пользователю. Сохраните изменения;
Осталось дождаться обновления политик на клиентских компьютерах и проверить применение новых разрешений на службу.

Где хранятся разрешения служб Windows?

Настройки безопасности для все служб, для которых вы изменили разрешения по-умолчанию хранятся в собственной ветке реестра HKLMSystemCurrentControlSetServices<servicename>Security в параметре Security типа REG_BINARY.

Это означает, что одним из способов установки аналогичных разрешений на других компьютерах может быть экспорт/импорт данного параметра реестра (в том числе через GPO).

Итак, мы разобрали несколько способов управления правами на службы Windows, позволяющих предоставить произвольному пользователю любые права на системные службы. Если пользователю требуется удаленный доступ к службе, без предоставления ему прав локального входа в систему, нужно разрешить пользователю удаленно опрашивать Service Control Manager.

Источник

Содержание

Исправляем ошибку «Отказано в доступе» при работе со службами в Windows 10
- Способ 1: Настройка прав доступа системного раздела
- Способ 2: Редактирование группы Администраторы
- Способ 3: Проверка определенной службы
- Способ 4: Включение привилегий для LOCAL SERVER
- Способ 5: Проверка системы на вирусы
Вопросы и ответы

Часто перед пользователями возникает потребность изменить состояние какой-либо службы в Windows 10. Это может быть связано с решением неполадок или временным отключением работы приложения. Однако не всегда процесс происходит корректно. Иногда на экране появляется уведомление «Отказано в доступе», что означает невозможность внести указанные изменения. Далее мы хотим продемонстрировать все доступные варианты исправления этой ситуации.

Ошибка «Отказано в доступе» свидетельствует об ограничениях на права пользователя, которые были выставлены администратором или системой автоматически. В большинстве случаев возникновение подобной ситуации связано с системными сбоями, поэтому приходится перебирать возможные варианты ее решения. Мы предлагаем начать с самого очевидного и эффективного, постепенно переходя к более сложным и редко встречающимся исправлениям.

Способ 1: Настройка прав доступа системного раздела

Как известно, все файлы, связанные с операционной системой, хранятся на системном разделе жесткого диска. Если на него установлены какие-либо правовые ограничения, возможно возникновение различных проблем при попытке взаимодействовать со стандартными файлами, в том числе и службами. Решается эта неполадка следующим образом:

Через «Проводник» перейдите в раздел «Этот компьютер», найдите там локальный системный диск, кликните по нему правой кнопкой мыши и выберите пункт «Свойства».

В открывшемся окне переместитесь на вкладку «Безопасность».

Щелкните по кнопке «Изменить», предварительно сняв выбор с какой-либо учетной записи.

Нажмите на «Добавить», для создания новой группы или пользователя в списке разрешенных.

В поле «Введите имена выбираемых объектов» напишите «Все» и нажмите на «Проверить имена».

Данная надпись должна стать подчеркнутой — это означает, что проверка прошла успешно. После этого просто нажмите на «ОК», чтобы сохранить изменения.

Произойдет автоматический переход на эту же вкладку «Безопасность». Теперь отметьте поле «Все» и установите разрешения для полного доступа. Перед выходом не забудьте применить изменения.

Процесс внесения правок безопасности займет несколько минут. Не закрывайте данное окно, чтобы не прервать операцию.

После применения новых правил безопасности рекомендуется перезагрузить компьютер, а уже потом запускать окно «Службы» и пытаться производить необходимые изменения, проверяя действенность выполненных только что настроек.

Способ 2: Редактирование группы Администраторы

Следующее решение будет связано с изменением локальной группы пользователей под названием Администраторы. Принцип этого способа заключается в добавлении прав на управление локальными и сетевыми службами. Для этого придется от имени администратора выполнить две команды в консоли, с чем справится даже самый начинающий юзер.

Приложение «Командная строка» в обязательном порядке следует запустить от имени администратора. Проще всего это сделать, отыскав консоль через «Пуск» и выбрав там соответствующий пункт.

В первую очередь введите команду net localgroup Администраторы /add networkservice и нажмите на Enter.

Вы будете уведомлены о ее выполнении.

Если вместо этого вы получили ошибку «Указанная локальная группа не существует», напишите ее название на английском языке — «Administrators» вместо «Администраторы». То же самое надо сделать и с командой из следующего шага.

Теперь можно ввести вторую команду net localgroup Администраторы /add localservice.

Закройте консоль после появления строки «Команда выполнена успешно».

По завершении данной операции обязательно перезагрузите компьютер, поскольку установленная конфигурация активируется только при создании нового сеанса.

Способ 3: Проверка определенной службы

Этот метод подойдет тем пользователям, кто испытывает проблемы с появлением уведомления «Отказано в доступе» только при работе с конкретными службами. Дело может быть в том, что ограничения установлены непосредственно для самой службы, а это можно проверить только через редактор реестра.

Для начала потребуется определить системное наименование службы. Запустите «Пуск», найдите через поиск приложение «Службы» и запустите его.

Отыщите строку с необходимым параметром и дважды щелкните по ней, чтобы перейти в свойства.

Ознакомьтесь с содержимым строки «Имя службы».

Запомните его и запустите утилиту «Выполнить» через комбинацию клавиш Win + R. Введите regedit и нажмите на Enter.

В редакторе реестра перейдите по пути HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices.

В конечной папке отыщите каталог с названием нужной службы и щелкните по нему ПКМ.

Через контекстное меню перейдите в «Разрешения».

Убедитесь в том, что для групп Администраторы и Пользователи установлен полный разрешающий доступ. Если это не так, измените параметры и сохраните изменения.

Теперь вы можете прямо в редакторе реестра изменить состояние параметра или вернуться в приложение «Службы», чтобы проверить, помогли ли произведенные действия избавиться от проблемы.

Способ 4: Включение привилегий для LOCAL SERVER

В Windows 10 имеется учетная запись под названием LOCAL SERVER. Она является системной и отвечает за запуск определенных опций, в том числе и при взаимодействии со службами. Если ни один из предыдущих методов не принес должного результата, можно попытаться установить отдельные права для этой учетной записи, что делается так:

Перейдите в свойства локального диска с операционной системой через контекстное меню, откройте вкладку «Безопасность» и нажмите на «Изменить».

Потребуется кликнуть на «Добавить», чтобы перейти к поиску профиля.

В появившемся окне переместитесь в раздел «Дополнительно».

Начните поиск учетных записей.

Из списка выберите необходимую сейчас.

После предоставьте ей полный доступ для управления системными компонентами и примените изменения.

Способ 5: Проверка системы на вирусы

Последний метод, рассматриваемый сегодня, предполагает проверку системы на вирусы. Использовать его следует в тех случаях, когда ни один из приведенных выше вариантов не помог справиться с проблемой — тогда есть повод задуматься о действии вредоносных файлов. Вполне возможно, что какой-то вирус попросту блокирует доступ к службам, а сама проблема будет решена только после его удаления и восстановления системных объектов. Более детально об этом читайте в отдельном материале на нашем сайте далее.

Подробнее: Борьба с компьютерными вирусами

Теперь вы знаете как бороться с проблемой «Отказано в доступе» при попытках изменить состояние службы в Виндовс 10. Осталось только поочередно выполнять каждый способ, чтобы в максимально короткие сроки отыскать действенное решение.

Еще статьи по данной теме:

Помогла ли Вам статья?

Источник

Содержание

Как предоставить обычным пользователям права на запуск/остановку служб Windows?
Управление правами на службы с помощью встроенной утилиты SC.exe (Service controller)
Предоставление прав на перезапуск службы с помощью SubInACL
Process Explorer: Установка разрешений на службу
Назначаем разрешения на службу с помощью PowerShell
Используем шаблоны безопасности (Security Templates) для управления разрешениями служб
Управление правами служб через групповые политики
Исправление ошибки «Отказано в доступе» при работе со службами в Windows 10
Исправляем ошибку «Отказано в доступе» при работе со службами в Windows 10
Способ 1: Настройка прав доступа системного раздела
Способ 2: Редактирование группы Администраторы
Способ 3: Проверка определенной службы
Способ 4: Включение привилегий для LOCAL SERVER
Способ 5: Проверка системы на вирусы

Как предоставить обычным пользователям права на запуск/остановку служб Windows?

Какой из них проще и удобнее – решать Вам.

Управление правами на службы с помощью встроенной утилиты SC.exe (Service controller)

Получить текущие разрешения на службу в виде SDDL строки можно так:

sc.exe sdshow Spooler

Что значат все эти символы?

Первая буква после скобок означает: разрешить (A, Allow) или запретить (D, Deny).

Следующая пачка символов – назначаемые права.

AO Account operators
RU Alias to allow previous Windows 2000
AN Anonymous logon
AU Authenticated users
BA Built-in administrators
BG Built-in guests
BO Backup operators
BU Built-in users
CA Certificate server administrators
CG Creator group
CO Creator owner
DA Domain administrators
DC Domain computers
DD Domain controllers
DG Domain guests
DU Domain users
EA Enterprise administrators
ED Enterprise domain controllers
WD Everyone
PA Group Policy administrators
IU Interactively logged-on user
LA Local administrator
LG Local guest
LS Local service account
SY Local system
NU Network logon user
NO Network configuration operators
NS Network service account
PO Printer operators
PS Personal self
PU Power users
RS RAS servers group
RD Terminal server users
RE Replicator
RC Restricted code
SA Schema administrators
SO Server operators
SU Service logon user

или для любого пользователя домена с помощью PowerShell комаднлета Get-ADUser:

Get-ADUser -Identity ‘iipeshkov’ | select SID

SID доменной группы можно получить с помощью командлета Get-ADGroup:

Чтобы назначить SDDL строку с правами на определённую службу, используется команда sc sdset. К примеру, права пользователю на службу spooler могут быть предоставлены следующей командой:
sc sdset Spooler «D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;RPWPCR;;;S-1-5-21-2133228432-2794320136-1823075350-1000)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)»

Предоставление прав на перезапуск службы с помощью SubInACL

Скачайте subibacl,msi со страницы (https://www.microsoft.com/en-us/download/details.aspx?id=23510) и установите ее на целевой системе;
В командной строке с правами администратора перейдите в каталог с утилитой: cd “C:Program Files (x86)Windows Resource KitsTools ”
Выполните команду: subinacl.exe /service Spooler /grant=contosotuser=PTO

Если вы все сделали верно, служба должна перезапуститься.

subinacl.exe /service Spooler /revoke=contosotuser

Process Explorer: Установка разрешений на службу

Назначаем разрешения на службу с помощью PowerShell

Получить эффективные разрешения на конкретную службу из PowerShell можно так:

Get-Service spooler | Get-EffectiveAccess -Principal corptuser

Чтобы предоставить обычному пользователю права на запуск и остановку службы, выполните:

Get-Service spooler | Add-AccessControlEntry -ServiceAccessRights Start,Stop -Principal corptuser

Используем шаблоны безопасности (Security Templates) для управления разрешениями служб

Создадим новый шаблон (New Template).

Установите тип запуска (Automatic) и нажмите кнопку Edit Security.

Сохраните шаблон (Save).

Примените шаблон, вызвав из контекстного меню команду Configure Computer Now.

Теперь можно под пользователем проверить, что у него появились права на управление службой Print Spooler.

Управление правами служб через групповые политики

Создайте новую или отредактируйте существующую GPO, назначьте ее на нужный контейнер с компьютерами в Active Directory. Перейдите в раздел политик Computer configuration -> Windows Settings -> Security Settings -> System Services;
Найдите службу Spooler и аналогично методике с шаблонами безопасности, рассмотренной ранее, предоставьте права пользователю. Сохраните изменения;

Настройки безопасности для все служб, для которых вы изменили разрешения по-умолчанию хранятся в собственной ветке реестра HKLMSystemCurrentControlSetServices Security в параметре Security типа REG_BINARY.

Исправление ошибки «Отказано в доступе» при работе со службами в Windows 10

Исправляем ошибку «Отказано в доступе» при работе со службами в Windows 10

Способ 1: Настройка прав доступа системного раздела

Через «Проводник» перейдите в раздел «Этот компьютер», найдите там локальный системный диск, кликните по нему правой кнопкой мыши и выберите пункт «Свойства».

В открывшемся окне переместитесь на вкладку «Безопасность».

Щелкните по кнопке «Изменить», предварительно сняв выбор с какой-либо учетной записи.

В поле «Введите имена выбираемых объектов» напишите «Все» и нажмите на «Проверить имена».

Данная надпись должна стать подчеркнутой — это означает, что проверка прошла успешно. После этого просто нажмите на «ОК», чтобы сохранить изменения.

Произойдет автоматический переход на эту же вкладку «Безопасность». Теперь отметьте поле «Все» и установите разрешения для полного доступа. Перед выходом не забудьте применить изменения.

Способ 2: Редактирование группы Администраторы

«Командная строка»

«Пуск»

В первую очередь введите команду net localgroup Администраторы /add networkservice и нажмите на Enter.

Вы будете уведомлены о ее выполнении.

Если вместо этого вы получили ошибку «Указанная локальная группа не существует», напишите ее название на английском языке — «Administrators» вместо «Администраторы». То же самое надо сделать и с командой из следующего шага.

Закройте консоль после появления строки «Команда выполнена успешно».

Способ 3: Проверка определенной службы

«Пуск»

«Службы»

Отыщите строку с необходимым параметром и дважды щелкните по ней, чтобы перейти в свойства.

Ознакомьтесь с содержимым строки «Имя службы».

Запомните его и запустите утилиту «Выполнить» через комбинацию клавиш Win + R. Введите regedit и нажмите на Enter.

В редакторе реестра перейдите по пути HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices .

В конечной папке отыщите каталог с названием нужной службы и щелкните по нему ПКМ.

Через контекстное меню перейдите в «Разрешения».

Убедитесь в том, что для групп Администраторы и Пользователи установлен полный разрешающий доступ. Если это не так, измените параметры и сохраните изменения.

Способ 4: Включение привилегий для LOCAL SERVER

«Безопасность»

«Изменить»

Потребуется кликнуть на «Добавить», чтобы перейти к поиску профиля.

В появившемся окне переместитесь в раздел «Дополнительно».

Начните поиск учетных записей.

Из списка выберите необходимую сейчас.

После предоставьте ей полный доступ для управления системными компонентами и примените изменения.

Способ 5: Проверка системы на вирусы

Источник

7 / 7 / 6

Регистрация: 02.04.2012

Сообщений: 321

Server 2016

Как включить разрешение на запуск системных служб ?

23.03.2017, 16:50. Показов 91926. Ответов 5

Добрый день!

При запуски мастера установки клиент-серверной 1С, можно выбрать пользователя: DefaultAccount либо создать нового пользователя, к примеру я создал пользователя: USR1CV8.

Во время установки клиент-серверной 1С, вылетает ошибка: Ошибка при запуске службы …убедитесь, что у вас имеются разрешения на запуск системных служб.

Подскажите пожалуйста как в windows server 2016 предоставить пользователю USR1CV8 права на запуск служебных служб.

В системе авторизован под пользователем User — тип учётной записи — администратор.
Среди учётных записей есть пользователь с именем Администратор, но как зайти в систему через него, я не знаю.

Напечатайте пожалуйста две инструкции:
1. Как в microsoft windows server авторизоваться под пользователем — Администратор?
2. Как разрешить запуск системных служб пользователям User и USR1CV8?

С уважением

Миниатюры

__________________
Помощь в написании контрольных, курсовых и дипломных работ, диссертаций здесь

490 / 89 / 18

Регистрация: 01.12.2009

Сообщений: 370

Записей в блоге: 1

24.03.2017, 10:53

MrRuslanBB,
1. Сменить пользователя, как и в обычных виндах — выход из системы, другой пользователь, ввести учетные данные. Если вы не знаете пароля администратора, обратитесь к тому, кто устанавливал систему, т.к. установка пароля администратора запрашивается на этапе установки WinServer.
1.а. Возможен сценарий, когда сервер — контроллер домена. В этом случае на нем отключены локальные учетные записи и зайти можно только используя доменные учетки.

2. Я таки думаю, что сообщение о запрете на запуск системных служб относится к пользователю, под которым вы авторизовались на сервере, т.е. пользователю User. Чтобы разрешить ему что-то подобное, вам все равно понадобятся права администратора.

7 / 7 / 6

Регистрация: 02.04.2012

Сообщений: 321

25.03.2017, 15:19

[ТС]

Помогла инструкция напечатанная ниже, спасибо Dethmontt

Необходимо пропустить ошибку, далее, зайти в управление компьютером, открыть список служб, найти там Агента сервера 1С:Предприятие — зайти в свойства службы и указать под кем запускаться — Запустить и радоваться =)))

0 / 0 / 0

Регистрация: 17.09.2014

Сообщений: 6

14.10.2021, 01:18

MrRuslanBB, для того, чтобы был доступ к службе от имени, создаваемого установщиком, пользователя USR1CV8, можно добавить его в группу администраторов, поскольку он после создания будет находится в группе пользователей. И поэтому даже, если дать ему полный доступ к данному сервису, скажем, через консольную команду sc, то запустить службу система вам все равно не даст (поскольку будет отсутствовать доступ на запуск дочерних служб). Либо же придется выдавать данному пользователю соответствующие права для каждой дочерней службы.

Модератор

6871 / 3818 / 477

Регистрация: 13.03.2013

Сообщений: 14,059

Записей в блоге: 9

14.10.2021, 06:24

Сообщение от MrRuslanBB

Необходимо пропустить ошибку

Неверный подход, в Вашем случае учетная запись «USR1CV8» либо не была создана, либо у нее отсутстовали права на запуск служб.
В первом случае необходимо либо создать учетку, либо выставить запуск службы от имени системной учетной записи (NT AUTHORITYSYSTEM).
Во втором случае необходимо открыть «gpedit.msc=>Конфигурация компьютера=>Конфигурация Windows=>Параметры безопасности=>Назначение прав пользователя» и добавить учетку «USR1CV8» в пункты «»Вход в качестве пакетного задания» и «Вход в качестве службы».

0 / 0 / 0

Регистрация: 17.09.2014

Сообщений: 6

14.10.2021, 15:01

Maks, учетка создается и остается в системе даже, если отменить установку, разве только её не удалить вручную. Просто у неё нет соответствующих прав для работы со службой и дочерних, от которой она зависит. Это косяк тех, кто пилил инсталятор. Она включена в группу «Пользователи», а они не обладают данными привилегиями. Можно, конечно, и под системной учеткой запускать, работать будет. Но все же целесообразнее для такой цели выделить отдельного пользователя.

IT_Exp Эксперт 87844 / 49110 / 22898 Регистрация: 17.06.2006 Сообщений: 92,604	14.10.2021, 15:01
6

Источник

По умолчанию обычные пользователи, не обладающие правами администратора системы, не могут управлять системными (и большинством прикладных) службами Windows. Это означает, что они не могут останавливать, запускать (перезапускать), изменять настройки и разрешения таких служб. В некоторых случаях все-таки требуется, чтобы у пользователя были права на перезапуск и управление определенными службами. В этой статье мы разберем несколько способов управления правами на службы Windows. В частности, мы покажем, как предоставить обычному пользователю, без прав администратора Windows, права на запуск, остановку и перезапуск определенной службы.

Предположим, нам нужно предоставить доменной учетной записи contoso user права на перезапуск службы печати (Print Spooler) с системным именем Spooler.

Какой из них проще и удобнее – решать Вам.

Встроенная утилита SC.exe (Service controller)

Стандартный, встроенный в Windows способ управления правами на службы системы предусматривает использование утилиты sc.exe (Service Controller).

Главная, проблема – зубодробительный синтаксис формата предоставления прав на сервис (формат SDDL).

Получить текущие права на службу можно так:

sc.exe sdshow Spooler

Что значат все эти символы?

Первая буква после скобок означает: разрешить (A, Allow) или запретить (D, Deny).

Следующая пачка символов – назначаемые права.

Последние 2 буквы, объекты (группа пользователей или SID), котором предоставляются права. Есть список предустановленных групп.

или для любого пользователя домена с помощью PowerShell комаднлета Get-ADUser:

Get-ADUser -Identity ‘iipeshkov’ | select SID

К примеру, права пользователю на службу spooler могут быть предоставлены следующей командой:

SubInACL: назначаем права на службы с помощью утилиты Sysinternals

Гораздо проще воспользоваться консольной утилитой SubInACL из комплекта Sysinternals от Марка Руссиновича (права на которую вместе с автором теперь принадлежат Microsoft). Синтаксис этой утилиты гораздо проще и удобнее для восприятия. Как предоставить права перезапуска на службу с помощью SubInACL:

Скачайте msi со страницы (https://www.microsoft.com/en-us/download/details.aspx? />
В командной строке с правами администратора перейдите в каталог с утилитой: cd “ C:Program Files (x86)Windows Resource KitsTools) ”
Выполните команду: subinacl.exe /service Spooler /grant=contoso user=PTO

Если нужно предоставить права на службу, запущенную на удаленном компьютере, синтаксис будет такой:
subinacl /SERVICE msk-buh01spooler /grant=contoso user=F

Осталось войти в данную систему под учетной записью пользователя и попробовать перезапустить службу командами:
net stop spooler
net start spooler

Если вы все сделали верно, служба должна остановиться и запуститься заново.

Process Explorer: Установка разрешений на службу

Нажмите на кнопку Permissions и в открывшемся окне добавьте пользователя или группу, которой нужно предоставить права на сервис и уровень полномочий.

Шаблон безопасности (Security Template)

Создадим новый шаблон (New Template).

Установите тип запуска (Automatic) и нажмите кнопку Edit Security.

Сохраните шаблон (Save).

Если открыть этот файл, можно увидеть, что данные о правах доступа сохраняются в уже ранее упомянутом SDDL формате. Полученная таким образом строка может быть использована в качестве аргументы команды sc.exe.

Осталось с помощью оснастки Security Configuration and Analysis создать новую базу данных (Open Database) и импортировать наш шаблон безопасности из файла Spooler User Rights.inf.

Применим шаблон, вызвав из контекстного меню команду Configure Computer Now.

Теперь можно под пользователем проверить, что у него появились права на управление службой Print Spooler.

Управление правами служб через групповые политики

Создайте новую или отредактируйте существующую GPO, назначьте ее на нужный контейнер с компьютерами в Active Directory. Перейдите в раздел политик Computer configuration -> Windows Settings -> Security Settings -> System Services.
Найдите службу Spooler и аналогично ранее рассмотренной методике предоставьте права пользователю. Сохраните изменения.

Назначаем разрешения на службу с помощью PowerShell

В галерее TechNet имеется отдельный неофициальный модуль PowerShell для управления разрешениями на разные объекты Windows — PowerShellAccessControl Module (скачать его можно здесь). Этот модуль позволяет он управлять правами на службы. Импортируйте модуль в свою сессию:

Получить эффективные разрешения на конкретную службу из PowerShell можно так:

Get-Service spooler | Get-EffectiveAccess -Principal corp user

Чтобы предоставить обычному пользователю права на запуск и остановку службы, выполните:

Get-Service spooler | Add-AccessControlEntry -ServiceAccessRights Start,Stop -Principal corp user

Итак, мы разобрали несколько способов управления правами на службы Windows, позволяющих предоставить произвольному пользователю любые права на службы системы. В том случае, если пользователю требуется удаленный доступ к службе, без предоставления ему прав локального входа в систему, нужно разрешить пользователю удаленно опрашивать Service Control Manager.

Буквально сегодня понадобилось дать человеку возможность перезапускать тестовый вебсервер под виндой.
Права админа давать естественно давать не хочется.
«Мощный» юзер не подходит.

букв много

и тут на помощь приходит technet, который расcказывает про sc.

В данном случае нас интересуют 2 команды:
sc sdshow — показывает права
sc sdset — устанавливает права

Для начала узнаем, какие права у нашего сервиса уже есть:
C:Usersadministrator>sc sdshow service_name

Как видно, есть 2 интересных префикса:
S: — System Access Control List (SACL) — это нас сейчас не интересует.
D: — Discretionary ACL (DACL) — здесь указываются права для всех и всего.

Смотрим далее.
Первая буква после скобок означает разрешаем (A, Allow) или запрещаем (D, Deny).

И потом видим комбинации из двух букв:
CC — SERVICE_QUERY_CONFIG
LC — SERVICE_QUERY_STATUS
SW — SERVICE_ENUMERATE_DEPENDENTS
LO — SERVICE_INTERROGATE
CR — SERVICE_USER_DEFINED_CONTROL
RC — READ_CONTROL
RP — SERVICE_START
WP — SERVICE_STOP
DT — SERVICE_PAUSE_CONTINUE

По сути, нас будут интересовать последние три опции:
(A;;RPWPDT;;;)

Последние 2 буквы обозначают кому мы разрешаем или запрещаем:
AU Authenticated Users
AO Account operators
RU Alias to allow previous Windows 2000
AN Anonymous logon
AU Authenticated users
BA Built-in administrators
BG Built-in guests
BO Backup operators
BU Built-in users
CA Certificate server administrators
CG Creator group
CO Creator owner
DA Domain administrators
DC Domain computers
DD Domain controllers
DG Domain guests
DU Domain users
EA Enterprise administrators
ED Enterprise domain controllers
WD Everyone
PA Group Policy administrators
IU Interactively logged-on user
LA Local administrator
LG Local guest
LS Local service account
SY Local system
NU Network logon user
NO Network configuration operators
NS Network service account
PO Printer operators
PS Personal self
PU Power users
RS RAS servers group
RD Terminal server users
RE Replicator
RC Restricted code
SA Schema administrators
SO Server operators
SU Service logon user

+ к этому списку можно явно указать пользователя по SID’у.

Вот это самое интересное!
как узнать SID пользователя?
есть не один способ 🙂

но, самый простой и удобный (на мой взгляд), написать маленький скриптик на vb:
strComputer = «.»
Set objWMIService = GetObject(«winmgmts:» & strComputer & «
ootcimv2″)

Set objAccount = objWMIService.Get _
(«Win32_UserAccount.Name=’username’,Domain=’domain’»)
Wscript.Echo objAccount.SID

Заменяем имя пользователя и домен по своему вкусу, сохраняем файл с расширением .vbs и запускаем.
Появляется алерт с SID.

Копируем в блокнот(или в любое другое место)
Можно скрипт запустить в консоли, сэкономим время 🙂

И так. Узнали SID.
Вставляем в ключ:
(A;;RPWPDT;;;S-1-5-21-3992622163-2725220152-438995547-4172)

Теперь подготавливаем команду целиком:
sc sdset D:(A;;RPWPDT;;;S-1-5-21-3992622163-2725220152-438995547-4172)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCR
RC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

Наш ключ вставляем в любое место, но важно чтобы он был перед префиксом S.
Важно не ошибиться, иначе можем потерять доступ к сервису 🙂
Запускаем.

проверяем:
sc server stop «service_name»

Надеюсь, основную мысль донес.
Так же жду критики, тк подозреваю что могут быть способы проще.

UPD можно, кстате, использовать группы.
для того чтобы узнать SID группы — вместо username, напишите имя группы.

Полезная информация об администрировании пользовательских и серверных ОС Windows.

Иногда требуется дать пользователю Windows (не администратору) права запускать определенную службу. Чтобы это сделать можно воспользоваться утилитой SubInACL от Microsoft.

Итак порядок действий такой:

— запускаем от имени администратора команду:

«C:Program Files (x86)Windows Resource KitsToolssubinacl.exe» /service ServiceName /grant=DOMAINuser=PTO

здесь ServiceName — название необходимой службы

DOMAINuser — имя пользователя в домене, кому необходим доступ на управление этой службой. (можно использовать также имена групп в домене, или локальных пользователей/групп).

— Теперь пользователь может запустить указанную службу от своего имени, например через bat-файл:

Источник

Ошибка 5 «отказано в доступе»: исправляем проблему при запуске служб

При запуске служб пользователи Windows часто видят такое сообщение.

Ошибка 5 говорит нам, что «отказано в доступе». То есть нам не хватает каких-то прав, чтобы запустить службу, хотя большинство пользователей работают в учетной записи администратора.

Проблема нередко возникает не только при подключении служб, но и открытии файлов, создании папок, запуске политики диагностики и т.д. В этой статье попробуем разобраться, в чем причина такой неисправности и по возможности устранить ее.

Полный доступ к системному диску

Один из вариантов исправления ошибки – открыть полный доступ к системному диску C (у вас он может быть под другим символом, это тот диск, на который установлена операционная система).

Открываем Проводник, кликаем правой кнопкой мышки на диск C и выбираем из контекстного меню пункт «Свойства». В свойствах диска переходим во вкладку безопасности и кликаем на иконку «Изменить».

Далее кликаем «Добавить». В появившемся окошке прописываем в строке слово «Все». Это позволит нам сохранить изменения в доступе к диску для всех пользователей. После чего нажимаем «Проверить имена». Слово должно стать подчеркнутым – это значит, что система правильно определила нового «пользователя».

Далее устанавливаем соответствующий маркер, чтобы предоставить всем пользователям полный доступ к локальному диску C.

Кликаем «ОК» и соглашаемся с изменениями. После чего проверяем, удалось ли избавиться от ошибки при запуске служб.

Доступ для Local Service

Не уходим из свойства безопасности диска C. Снова заходим в последнюю закрытую вкладку и кликаем там «Дополнительно».

Нажимаем на поиск и далее ищем «пользователя» с именем Local Service. Добавляем его в список и далее, как и в предыдущем разделе, наделяем его полным доступом.

Командная строка

Следующее решение – ответ технической поддержки Microsoft пользователю, который тоже столкнулся с данной проблемой. В командной строке, запущенной от имени администратора (читайте здесь, как это сделать), нужно прописать поочередно две команды:

net localgroupАдминистратор /add networkservice;
net localgroup Администраторы /add localservice.

Важно! В англоязычной версии в первой команде указываем Administrator, а во втором Administrators (во множественном числе).

После выполнения команд перезагрузите компьютер и попробуйте запустить службу Windows.

Редактируем реестр

Следующий способ решения проблемы – работа с реестром. Для этого нам нужно узнать точное имя службы, с которой возникают проблемы при запуске.

Для этого заходим в «Службы»: комбинация клавиш Win+R и команда services.msc. Кликаем два раза левой кнопкой мыши по службе и запоминаем имя. Обратите внимание, что отображаемое в списке имя не является именем самой службы. Реальное название отображается в свойствах службы.

Теперь переходим в редактор реестра (здесь подробно описано, как это сделать). В редакторе следуем по пути, указанному на скриншоте. Кликаем право кнопкой мышки по каталогу службы и выбираем из контекстного меню пункт «Разрешения».

В разрешениях нам нужно установить полный доступ для администраторов и пользователей.

Также рекомендуем предоставить полный доступ для «пользователя» Local Service, которого мы ранее добавили.

Дополнительные рекомендации

Возможно, следует отключить или удалить антивирусную программу и попробовать запустить службу. Читайте подробную статью о том, как отключить Защитник Windows 10. Также одним из вариантом будет возврат к точке восстановления. А для этого прочитайте сначала, как создать току восстановления.

Пробуйте поочередно все описанные выше методы. Один из них точно должен помочь при запуске служб.

Центр безопасности Windows помогает управлять различными параметрами безопасности на компьютере, такими как брандмауэр, антивирус, обслуживание, UAC, Интернет. Настройки безопасности и так далее. Многие пользователи Windows 11/10 сообщают, что столкнулись с сообщением об ошибке, в котором говорится:

Не удается запустить службу Центра обеспечения безопасности Windows.

Когда пользователь открывает Безопасность и обслуживание на панели управления, появляется сообщение, связанное с Центром обеспечения безопасности Windows, указывающее, что он отключен. При попытке включить его на экране появляется это сообщение об ошибке.

Вы также сталкиваетесь с этой проблемой в Центре безопасности? Тогда вы попали в нужное место. В этой статье мы перечислили исправления, которые помогут вам устранить эту ошибку на вашем ПК.

Исправление 1 — включение службы Security Center

1. Просто используйте клавиши Windows и R, чтобы открыть диалоговое окно Выполнить.

2. Введите services.msc и нажмите Enter, чтобы открыть Службы Windows

3. Найдите Центр безопасности в списке служб.

Примечание. Поскольку возникла проблема, вы увидите, что служба отключена. в столбце Тип запуска.

4. Дважды щелкните Центр безопасности, чтобы изменить его статус.

Примечание. Если все доступные параметры в окне”Свойства”для Центра безопасности выделены серым цветом, и нет возможности запустить службу, а затем перейдите к пункту Исправить 2 ниже.

5. В окне Свойства Центра безопасности используйте раскрывающийся список, связанный с Тип запуска, и выберите Автоматически (отложенный запуск)

. 6. Нажмите кнопку Пуск, чтобы запустить службу.

7. Нажмите Применить , а затем ОК.

8. Если служба не запускается, вернитесь в раздел Службы и найдите службы Удаленный вызов процедур (RPC) и Инструментарий управления окнами. р> 9. Откройте их Свойства, измените Тип запуска на Автоматический (отложенный запуск) и нажмите Пуск, чтобы запустить службу.. Выполните этот шаг для обеих служб, упомянутых в шаге 8.

10. Нажмите ОК, чтобы сохранить изменения и выйти из окна”Службы”.

11. Перезагрузите свой компьютер и проверьте, включен ли Центр обеспечения безопасности и не отображается ли какая-либо ошибка.

Исправить 2 — изменить записи реестра

1. Нажмите Windows + R, чтобы открыть Выполнить

2. Введите regedit и нажмите ОК , чтобы открыть редактор Регистрацияry.

3. В приглашении Контроль учетных записей пользователей нажмите Да, чтобы продолжить.

4. Перейдите или скопируйте и вставьте расположение ниже в панель навигации реестра.

5. Щелкните правой кнопкой мыши папку wscsvc на левой панели и выберите Разрешения, чтобы изменить разрешения для папки.

6. В окне Разрешения выберите группу или пользователя, которым вы хотите предоставить доступ в списке.

7. Установите флажок рядом с Полный доступ в столбце Разрешить, чтобы предоставить разрешение на открытие, редактирование и получение права собственности на ключ для выбранного пользователя..

8. Нажмите Применить, а затем ОК.

9. Теперь вернитесь в реестр с выбранной папкой wscsvc, перейдите к правой стороне и найдите в списке DWORD с именем Start.

10. Дважды щелкните клавишу Пуск, чтобы изменить ее значение.

11. В окне Редактировать установите для поля Значение данных значение 2 и нажмите ОК.

12. Выйдите из редактора реестра. Перезагрузите компьютер, чтобы изменения вступили в силу.

13. После запуска перейдите в раздел «Безопасность и обслуживание» и проверьте, устранена ли проблема.

14. Если проблема устранена, перейдите в раздел Служба Security Center Свойства, выполнив шаги 1–4 раздела Исправить 1. и нажмите Пуск, если служба не запущена.

Исправить 3. Убедитесь, что Центр безопасности работает как локальная служба

1. Откройте Свойства службы Security Center, выполнив Шаги 1–4 в Исправлении 1.

2. В окне Свойства выберите вкладку Вход.

3. Здесь выберите вариант Эта учетная запись и нажмите кнопку Обзор.

4. В окне Выбрать пользователя введите Локальная служба в поле ниже Введите имя объекта для выбора.

5. Нажмите Проверить имена, а затем ОК.

6. Теперь вернитесь на вкладку Вход, введите пароль и подтвердите пароль в соответствующих текстовых полях.

7. Нажмите Применить, а затем ОК.

8. Перезагрузите компьютер и проверьте, решена ли проблема с Центром безопасности.

Решение 4 — Восстановите репозиторий WMI

1. ОткройтеВыполнить (Windows + R).

2. Введите cmd и нажмите Ctrl + Shift + Enter, чтобы открыть Командную строку от имени администратора.

3. Введите команду и выполните ее.

4. Если проблем нет, вы увидите сообщение Репозиторий WMI согласован.

5. Если вы видите сообщение Репозиторий WMI несогласован, восстановите репозиторий WMI.

6. Откройте Командную строку от имени администратора.

7. Введите приведенную ниже команду и нажмите Enter.

8. Если это удается, пользователю отображается сообщение Репозиторий WMI восстановлен.

9. Проверьте, устранена ли проблема.

Исправить 5 — Запустите сканирование SFC

1. Нажмите клавишу Windows и введите командную строку в поле поиска.

2. Нажмите правой кнопкой мыши на Командную строку и выберите Запуск от имени администратора.

3. Введите команду и нажмите Enter.

4. Дождитесь запуска утилиты и проверьте ее на наличие повреждений. Если будут обнаружены какие-либо повреждения, они будут устранены.

5. Перезагрузите компьютер и проверьте, работает ли Центр обеспечения безопасности без каких-либо ошибок.

Теперь Центр обеспечения безопасности должен быть запущен на вашем ПК с Windows. не показывая ошибку, что он не может быть запущен. Прокомментируйте и дайте нам знать, если исправления были достаточно информативными для вас, чтобы решить эту ошибку.

Инженер-программист превратился в преподавателя с большим опытом преподавания в университетах. В настоящее время я работаю над своей страстью к писательству.

Как включить центр обеспечения безопасности windows 10 отказано в доступе

Если щелкнуть правой кнопкой мыши красный флажок «Оповещения системы безопасности Windows» в правой части панели задач, а затем выбрать пункт Открыть Центр обеспечения безопасности, то в окне центра обеспечения безопасности Windows отображается сообщение «Служба центра обеспечения безопасности отключена».

Если выбрать пункт Включить сейчас под заголовком «Центр обеспечения безопасности», появляется следующее сообщение об ошибке:

Не удается запустить службу «Центр обеспечения безопасности».

Центр обеспечения безопасности невозможно запустить после нескольких попыток.

Решение

Чтобы устранить эту проблему, убедитесь, что центр обеспечения безопасности настроен правильно, а затем запустите службу «Центр обеспечения безопасности». Для этого сделайте следующее.

Воспользуйтесь одним из этих способов, чтобы открыть компонент Службы.

Чтобы открыть компонент Службы в Windows 8, сделайте следующее:

Коснитесь и проведите пальцем от правого края экрана или нажмите клавиши WINDOWS+C.

Нажмите чудо-кнопку Поиск, а затем кнопку Параметры.

В поле Поиск введите служб.

Выберите элемент Просмотр локальных служб.

Чтобы открыть компонент Службы в Windows 7 и Windows Vista, сделайте следующее:

Нажмите кнопку Пуск.

В поле Начать поиск введите службы.

В списке Программы выберите пункт Службы.

В области сведений щелкните правой кнопкой мыши элемент Центр обеспечения безопасности (или коснитесь и удерживайте его) и выберите Свойства.

В списке Тип запуска выберите Автоматически (отложенный запуск).

Затем запустите службу. В области Состояние службы выберите Запустить.

Если служба успешно запускается, нажмите кнопку Применить, нажмите кнопку ОК, а затем закройте окно «Службы».

Если при нажатии кнопки Запустить появляется сообщение об ошибке, аналогичное приведенному ниже, перейдите к шагу 6 для повторной настройки пользователя для входа в систему службы.

«Windows не удалось запустить службу «Центр обеспечения безопасности» на локальном компьютере. Ошибка 1079: учетная запись, указанная для этой службы, отличается от учетной записи, указанной для других служб в этом же процессе».

В диалоговом окне Свойства Центра обеспечения безопасности выберите вкладку Вход в систему, а затем нажмите кнопку Обзор.

В поле Введите имена выбираемых объектов введите имя своего компьютера.

Нажмите кнопку Проверить имена, а затем кнопку ОК, когда имя пройдет проверку.

В поле Пароль введите пароль администратора.

В поле Подтверждение еще раз введите пароль администратора.

Нажмите кнопку Применить, а затем — кнопку ОК.

Закройте окно «Службы».

Если после настройки и запуска центра обеспечения безопасности и перезагрузки компьютера первый по-прежнему не запущен или работает не так, как следует, возможно, возникла одна из следующих проблем (или обе):

Компьютер заражен вредоносной программой.

Поврежден раздел реестра.

Исправление раздела реестра

Внимание! В этом разделе, описании метода или задачи содержатся сведения о внесении изменений в реестр. Однако неправильное изменение параметров реестра может привести к возникновению серьезных проблем. Поэтому такие действия необходимо выполнять с осторожностью. В качестве дополнительной защитной меры перед изменением реестра необходимо создать его резервную копию. Это позволит восстановить реестр в случае возникновения проблем. Дополнительные сведения о резервном копировании и восстановлении реестра см. по ссылке, соответствующей вашей версии Windows.

Чтобы исправить раздел реестра, выполните приведенные ниже действия.

Откройте редактор реестра. Выполните для этого описанные ниже действия в соответствии с используемой версией Windows.

Коснитесь и проведите пальцем от правого края экрана или нажмите клавиши WINDOWS+C.

Нажмите чудо-кнопку Поиск.

В поле Поиск введите regedit, а затем выберите элемент Regedit.

Windows Vista и Windows 7

Нажмите кнопку Пуск.

В поле Начать поиск введите regedit и выберите файл regedit.exe в списке Программы.

Примечание. При получении запроса на подтверждение или ввод пароля администратора введите пароль или нажмите кнопку Да.

Перейдите в следующий подраздел реестра:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetserviceswscsvc

Щелкните подраздел правой кнопкой мыши (или коснитесь и удерживайте его) и выберите команду Удалить.

Нажмите кнопку Да.

Запустите программу Блокнот. Выполните для этого описанные ниже действия в соответствии с используемой версией Windows.

Коснитесь и проведите пальцем от правого края экрана или нажмите клавиши WINDOWS+C.

Нажмите чудо-кнопку Поиск.

В поле Поиск введите блокнот, а затем выберите элемент Блокнот.

Windows Vista и Windows 7

Нажмите кнопку Пуск.

В поле Начать поиск введите блокнот и выберите Блокнот в списке Программы.

Выделите следующий текст:

Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetserviceswscsvc]
«DisplayName»=»@%SystemRoot%\System32\wscsvc.dll,-200»
«ErrorControl»=dword:00000001
«ImagePath»=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,
74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,73,
00,76,00,63,00,68,00,6f,00,73,00,74,00,2e,00,65,00,78,00,65,00,20,00,2d,00,
6b,00,20,00,4c,00,6f,00,63,00,61,00,6c,00,53,00,65,00,72,00,76,00,69,00,63,
00,65,00,4e,00,65,00,74,00,77,00,6f,00,72,00,6b,00,52,00,65,00,73,00,74,00,
72,00,69,00,63,00,74,00,65,00,64,00,00,00
«Start»=dword:00000002
«Type»=dword:00000020
«Description»=»@%SystemRoot%\System32\wscsvc.dll,-201»
«DependOnService»=hex(7):52,00,70,00,63,00,53,00,73,00,00,00,57,00,69,00,6e,00,
4d,00,67,00,6d,00,74,00,00,00,00,00
«ObjectName»=»NT AUTHORITY\LocalService»
«ServiceSidType»=dword:00000001
«RequiredPrivileges»=hex(7):53,00,65,00,43,00,68,00,61,00,6e,00,67,00,65,00,4e,
00,6f,00,74,00,69,00,66,00,79,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,
67,00,65,00,00,00,53,00,65,00,49,00,6d,00,70,00,65,00,72,00,73,00,6f,00,6e,
00,61,00,74,00,65,00,50,00,72,00,69,00,76,00,69,00,6c,00,65,00,67,00,65,00, 00,00,00,00
«DelayedAutoStart»=dword:00000001
«FailureActions»=hex:80,51,01,00,00,00,00,00,00,00,00,00,03,00,00,00,14,00,00,
00,01,00,00,00,c0,d4,01,00,01,00,00,00,e0,93,04,00,00,00,00,00,00,00,00,00

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetserviceswscsvcParameters]
«ServiceDllUnloadOnStop»=dword:00000001
«ServiceDll»=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f, 00,74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,
77,00,73,00,63,00,73,00,76,00,63,00,2e,00,64,00,6c,00,6c,00,00,00

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetserviceswscsvcSecurity]
«Security»=hex:01,00,14,80,c8,00,00,00,d4,00,00,00,14,00,00,00,30,00,00,00,02,
00,1c,00,01,00,00,00,02,80,14,00,ff,01,0f,00,01,01,00,00,00,00,00,01,00,00,
00,00,02,00,98,00,06,00,00,00,00,00,14,00,fd,01,02,00,01,01,00,00,00,00,00,
05,12,00,00,00,00,00,18,00,ff,01,0f,00,01,02,00,00,00,00,00,05,20,00,00,00,
20,02,00,00,00,00,14,00,9d,01,02,00,01,01,00,00,00,00,00,05,04,00,00,00,00,
00,14,00,8d,01,02,00,01,01,00,00,00,00,00,05,06,00,00,00,00,00,14,00,00,01,
00,00,01,01,00,00,00,00,00,05,0b,00,00,00,00,00,28,00,15,00,00,00,01,06,00,
00,00,00,00,05,50,00,00,00,49,59,9d,77,91,56,e5,55,dc,f4,e2,0e,a7,8b,eb,ca,
7b,42,13,56,01,01,00,00,00,00,00,05,12,00,00,00,01,01,00,00,00,00,00,05,12,
00,00,00

Щелкните выделенный текст правой кнопкой мыши (или коснитесь и удерживайте его) и выберите команду Копировать.

В панели инструментов Блокнота выберите пункт Правка, затем выберите команду Вставить.

В панели инструментов выберите Файл, а затем — команду Сохранить как.

Из списка Тип файла выберите Все файлы.

В поле Имя файла введите Hkey.reg и нажмите кнопку Сохранить.

В редакторе реестра в меню Файл выберите команду Импорт.

Найдите файл Hkey.reg, а затем коснитесь его или дважды щелкните его.

Нажмите кнопку ОК.

Проверьте компьютер на наличие вирусов с помощью антивирусной программы. Запустите антивирусное ПО, обновите его до последней версии и выполните полную проверку. Если будут обнаружены вирусы или вредоносные программы, удалите их или устраните проблемы, найденные антивирусным ПО.

Некоторое антивирусное ПО продается по продляемым годовым подпискам. Однако некоторые подобные программы распространяются бесплатно. Майкрософт предоставляет решение Microsoft Security Essentials — бесплатную антивирусную программу, которую можно скачать с веб-сайта Microsoft Security Essentials. Можно также перейти на веб-сайт поставщиков программного обеспечения для системы безопасности Windows, чтобы найти антивирусную программу от других производителей.

Дополнительные сведения о бесплатном ПО для проверки безопасности компьютера см. на веб-сайте Майкрософт по следующему адресу:

Дополнительные сведения о центре обеспечения безопасности Windows и других вопросах безопасности Windows см. на соответствующих веб-сайтах для вашей версии Windows.

Контактные данные сторонних компаний предоставляются с целью помочь пользователям получить необходимую техническую поддержку. Эти данные могут быть изменены без предварительного уведомления. Корпорация Майкрософт не дает гарантий относительно правильности приведенных контактных сведений сторонних организаций.

Источник

букв много

и тут на помощь приходит technet, который расcказывает про sc.

В данном случае нас интересуют 2 команды:
sc sdshow — показывает права
sc sdset — устанавливает права

Для начала узнаем, какие права у нашего сервиса уже есть:
C:Usersadministrator>sc sdshow service_name


D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCR

RC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

Без изысков.

Смотрим далее.
Первая буква после скобок означает разрешаем (A, Allow) или запрещаем (D, Deny).

Мы разрешаем:
(A;;;;;)

И потом видим комбинации из двух букв:
CC - SERVICE_QUERY_CONFIG LC - SERVICE_QUERY_STATUS SW - SERVICE_ENUMERATE_DEPENDENTS LO - SERVICE_INTERROGATE CR - SERVICE_USER_DEFINED_CONTROL RC - READ_CONTROL RP - SERVICE_START WP - SERVICE_STOP DT - SERVICE_PAUSE_CONTINUE

По сути, нас будут интересовать последние три опции:
(A;;RPWPDT;;;)

Последние 2 буквы обозначают кому мы разрешаем или запрещаем:
AU Authenticated Users AO Account operators RU Alias to allow previous Windows 2000 AN Anonymous logon AU Authenticated users BA Built-in administrators BG Built-in guests BO Backup operators BU Built-in users CA Certificate server administrators CG Creator group CO Creator owner DA Domain administrators DC Domain computers DD Domain controllers DG Domain guests DU Domain users EA Enterprise administrators ED Enterprise domain controllers WD Everyone PA Group Policy administrators IU Interactively logged-on user LA Local administrator LG Local guest LS Local service account SY Local system NU Network logon user NO Network configuration operators NS Network service account PO Printer operators PS Personal self PU Power users RS RAS servers group RD Terminal server users RE Replicator RC Restricted code SA Schema administrators SO Server operators SU Service logon user

+ к этому списку можно явно указать пользователя по SID’у.

Вот это самое интересное!
как узнать SID пользователя?
есть не один способ

но, самый простой и удобный (на мой взгляд), написать маленький скриптик на vb:
strComputer = "." Set objWMIService = GetObject("winmgmts:\" & strComputer & "rootcimv2")


Set objAccount = objWMIService.Get _

 ("Win32_UserAccount.Name='username',Domain='domain'")

Wscript.Echo objAccount.SID

Копируем в блокнот(или в любое другое место)
Можно скрипт запустить в консоли, сэкономим время

И так. Узнали SID.
Вставляем в ключ:
(A;;RPWPDT;;;S-1-5-21-3992622163-2725220152-438995547-4172)

Теперь подготавливаем команду целиком:
sc sdset D:(A;;RPWPDT;;;S-1-5-21-3992622163-2725220152-438995547-4172)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCR RC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

Наш ключ вставляем в любое место, но важно чтобы он был перед префиксом S.
Важно не ошибиться, иначе можем потерять доступ к сервису
Запускаем.

проверяем:
sc \server stop «service_name»

Надеюсь, основную мысль донес.
Так же жду критики, тк подозреваю что могут быть способы проще.

UPD можно, кстате, использовать группы.
для того чтобы узнать SID группы — вместо username, напишите имя группы.

Источник

Управление правами на службы с помощью встроенной утилиты SC.exe (Service controller)

Предоставление прав на перезапуск службы с помощью SubInACL

Process Explorer: Установка разрешений на службу

Назначаем разрешения на службу с помощью PowerShell

Используем шаблоны безопасности (Security Templates) для управления разрешениями служб

Управление правами служб через групповые политики

Способ 1: Настройка прав доступа системного раздела

Способ 2: Редактирование группы Администраторы

Способ 3: Проверка определенной службы

Способ 4: Включение привилегий для LOCAL SERVER

Способ 5: Проверка системы на вирусы

Еще статьи по данной теме:

Помогла ли Вам статья?

Как предоставить обычным пользователям права на запуск/остановку служб Windows?

Управление правами на службы с помощью встроенной утилиты SC.exe (Service controller)

Предоставление прав на перезапуск службы с помощью SubInACL

Process Explorer: Установка разрешений на службу

Назначаем разрешения на службу с помощью PowerShell

Используем шаблоны безопасности (Security Templates) для управления разрешениями служб

Управление правами служб через групповые политики

Исправление ошибки «Отказано в доступе» при работе со службами в Windows 10

Исправляем ошибку «Отказано в доступе» при работе со службами в Windows 10

Способ 1: Настройка прав доступа системного раздела

Способ 2: Редактирование группы Администраторы

Способ 3: Проверка определенной службы

Способ 4: Включение привилегий для LOCAL SERVER

Способ 5: Проверка системы на вирусы

Как включить разрешение на запуск системных служб ?

Встроенная утилита SC.exe (Service controller)

SubInACL: назначаем права на службы с помощью утилиты Sysinternals

Process Explorer: Установка разрешений на службу

Шаблон безопасности (Security Template)

Управление правами служб через групповые политики

Назначаем разрешения на службу с помощью PowerShell

Полезная информация об администрировании пользовательских и серверных ОС Windows.

Ошибка 5 «отказано в доступе»: исправляем проблему при запуске служб

Полный доступ к системному диску

Доступ для Local Service

Командная строка

Редактируем реестр

Дополнительные рекомендации

Исправление 1 — включение службы Security Center

Исправить 2 — изменить записи реестра

Исправить 3. Убедитесь, что Центр безопасности работает как локальная служба

Решение 4 — Восстановите репозиторий WMI

Исправить 5 — Запустите сканирование SFC

Как включить центр обеспечения безопасности windows 10 отказано в доступе

Решение

Исправление раздела реестра

Вот еще несколько интересных статей: