Windows располагает хорошими средствами автоматизации рутинных действий что называется «из коробки». Начиная с Windows Vista, пользователям десктопных и серверных систем доступны функции входа в качестве службы и в качестве пакетного задания.
Что это значит? Если учетная запись пользователя имеет право входить в систему в качестве службы, то это позволяет запустить от его имени какой-либо процесс как службу. Соответственно, такой процесс наделяется всеми свойствами службы (например, автозапуском).
Что касается пакетных заданий, то данная система обеспечивает функционирование Планировщика заданий без необходимости для пользователя лично заходить в компьютер под своей учетной записью.
Для того, чтобы обе функции стали доступны, необходимо открыть Редактор локальных групповых политик командой gpedit.msc.
Далее откройте раздел Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Назначение прав пользователя.
Обе групповые политики редактируются одинаковым образом. Достаточно нажать кнопку Добавить пользователя или группу и выбрать соответствующего пользователя (соответствующую группу).
↑
Если при установке задачи в Планировщике заданий при выставлении опции «Выполнять вне зависимости от регистрации пользователя» система сообщает:
Данное задание требует, чтобы указанная учетная запись пользователя имела права «Вход в качестве пакетного задания». Более подробные сведения о настройке этой политики см. в разделе справки «Контекст безопасности задания».
Для решения проблемы нужно дать пользователю эти права. Зайти в Администрирование в Панели управления, выбрать Локальная политика безопасности. Там перейти в Локальные политики — Назначение прав пользователей. Открыть параметр Вход в качестве пакетного задания и добавить пользователя. Считается, что по-умолчанию члены группы Администраторы и Операторы архива имеют такие права, но по факту это не так.
Если копка Добавить пользователя или группу не активна, стало быть этот параметр управляется групповой политикой. Найти его можно в редакторе GPO в Конфигурации компьютера — Конфигурация Window — Параметры безопасности — Локальные политики — Назначение прав пользователя.
Обновлено 16.02.2017
ошибка Данное задание требует, чтобы указанная учетная запись пользователя имела права вход в качестве пакетного задания-01
При создании в планировщике windows задания и попытке его запустить выскакивает ошибка Данное задание требует, чтобы указанная учетная запись пользователя имела права вход в качестве пакетного задания. Дело в том что учетной записи от имени которой пытаюсь запустить не хватает прав.
Эта настройка безопасности позволяет пользователю входить в систему с помощью средства обработки пакетных заданий.
Например, если пользователь инициирует задание с помощью планировщика заданий, планировщик обеспечивает ему вход в систему как пакетному пользователю, а не как интерактивному.
Примечание
- В операционных системах Windows 2000 Server, Windows 2000 Professional, Windows XP Professional. и семейства Windows Server 2003 планировщик заданий автоматически предоставляет это право как обязательное.
Решить данную проблему можно либо в локальной либо в групповой политике прописать нужный параметр и дать нужному пользователю права по пути Учетной записи, от имени которой должно выполнятся задание, в «Локальной политике безопасностиКонфигурация компьютераКонфигурация WindowsПараметры безопасностиЛокальные политикиНазначение прав пользователя» должно быть выделено право «Вход в качестве пакетного задания» (В аноязычном интерфейсе будет в «Local policyComputer ConfigurationWindows SettingsSecurity SettingsLocal PoliciesUser Rights Assignment» выделятся «Log on as a batch job» ).
ошибка Данное задание требует, чтобы указанная учетная запись пользователя имела права вход в качестве пакетного задания-02
по умолчанию права в этой группе имеют Администраторы и Операторы архива, их не забудьте сюда добавить в групповой политике, а то затрете их права.
ошибка Данное задание требует, чтобы указанная учетная запись пользователя имела права вход в качестве пакетного задания-03
и еще В свойствах задания (на первой странице) НЕ ДОЛЖЕН БЫТЬ ВКЛЮЧЕН пункт «Выполнять только при выполненном входе в систему» или Выполнять вне зависимости от регистрации пользователя («Run if user logon»), в самом задании.
Фев 16, 2017 10:09
При создании в планировщике windows задания и попытке его запустить выскакивает ошибка Данное задание требует, чтобы указанная учетная запись пользователя имела права вход в качестве пакетного задания. Дело в том что учетной записи от имени которой пытаюсь запустить не хватает прав.
Эта настройка безопасности позволяет пользователю входить в систему с помощью средства обработки пакетных заданий.
Например, если пользователь инициирует задание с помощью планировщика заданий, планировщик обеспечивает ему вход в систему как пакетному пользователю, а не как интерактивному.
Примечание
- В операционных системах Windows 2000 Server, Windows 2000 Professional, Windows XP Professional. и семейства Windows Server 2003 планировщик заданий автоматически предоставляет это право как обязательное.
Решить данную проблему можно либо в локальной либо в групповой политике прописать нужный параметр и дать нужному пользователю права по пути Учетной записи, от имени которой должно выполнятся задание, в «Локальной политике безопасностиКонфигурация компьютераКонфигурация WindowsПараметры безопасностиЛокальные политикиНазначение прав пользователя» должно быть выделено право «Вход в качестве пакетного задания» (В аноязычном интерфейсе будет в «Local policyComputer ConfigurationWindows SettingsSecurity SettingsLocal PoliciesUser Rights Assignment» выделятся «Log on as a batch job»).
по умолчанию права в этой группе имеют Администраторы и Операторы архива, их не забудьте сюда добавить в групповой политике, а то затрете их права.
В предыдущих статьях, посвященных локальным политикам безопасности, вы узнали о принципах работы политик учетных записей и политик аудита. Владея приобретенными знаниями, вы можете значительно обезопасить учетные данные ваших пользователей и отслеживать попытки несанкционированного доступа. Стоит учесть, что пользователи не владеют достаточной базой знаний по обеспечению безопасности и даже у обычного пользователя может быть достаточно привилегий для нанесения ущерба своей системе и даже компьютерам в вашей интрасети. Избежать подобных проблем помогают локальные политики безопасности назначения прав пользователя, о чем, собственно, и пойдет речь в данной статье. При помощи политик назначения прав пользователя вы можете сами определить, для каких пользователей или групп пользователей будут предоставлены различные права и привилегии. Оперируя данными политиками, вы можете не волноваться за то, что пользователи будут выполнять действия, которые им делать не положено. Для назначения прав доступны 44 политики безопасности, о применении которых далее пойдет речь.
Политики назначения прав пользователей
Как говорилось выше, для назначения прав пользователей существует 44 политики безопасности. Далее вы сможете ознакомиться с восемнадцатью политиками безопасности, которые отвечают за назначение различных прав для пользователей или групп вашей организации.
- Архивация файлов и каталогов
. При помощи данной политики вы можете указать пользователей или группы, предназначенные для выполнения операций резервного копирования файлов, каталогов, разделов реестра и других объектов, которые подлежат архивации. Данная политика предоставляет доступ для следующих разрешений:
- Обзор папок/Выполнение файлов
- Содержимое папки/Чтение данных
- Чтение атрибутов
- Чтение расширенных атрибутов
- Чтение разрешений
«Администраторы»
и «Операторы архивации»
, а на контроллерах домена – «Операторы архивации»
и «Операторы сервера»
.
. Используя эту политику безопасности, вы можете указать конкретных пользователей или группы, которым разрешается использовать процессы для сохранения данных в физической памяти для предотвращения сброса данных в виртуальную память на диске.
. Эта политика позволяет вам указывать пользователей и группы, которые могут выполнять восстановление файлов и каталогов, в обход блокировке файлов, каталогов, разделов реестра и прочих объектов, расположенных в архивных версиях файлов.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы»
и «Операторы архивации»
, а на контроллерах домена – «Операторы архивации»
и «Операторы сервера»
.
. При создании задания, используя планировщик заданий, операционная система регистрирует пользователя в системе как пользователя с пакетным входом. Данная политика разрешает группе или определенному пользователю входить в систему при помощи такого метода.
По умолчанию, как на рабочих станциях, так и на контроллерах домена, данные привилегии предоставляются группам «Администраторы»
и «Операторы архивации»
.
. Некоторые системные службы осуществляют вход в операционную систему под разными учетными записями. Например, служба «Windows Audio»
запускается под учетной записью «Локальная служба»
, служба «Телефония»
использует учетную запись «Сетевая служба»
. Данная политика безопасности определяет, какие учетные записи служб могут зарегистрировать процесс в качестве службы.
По умолчанию, как на рабочих станциях, так и на серверах, ни у одной группы нет на это разрешений.
. Используя эту политику, вы можете указать пользователей или группы, участники которых могут выполнять операции, предназначенные для обслуживания томов. У пользователей, обладающих такими привилегиями, есть права на чтение и изменение запрошенных данных после открытия дополнительных файлов, они также могут просматривать диски и добавлять файлы в память, занятую другими данными.
По умолчанию, такими правами обладают только администраторы рабочих станций и контроллеров домена.
. Эта политика отвечает за разрешение пользователям или группам добавлять компьютеры в домен Active Directory. Пользователь, обладающий данными привилегиями, может добавить в домен до десяти компьютеров.
По умолчанию, все пользователи, прошедшие проверку подлинности, на контроллерах домена могут добавлять до десяти компьютеров.
. Диспетчер учетных данных – это компонент, который предназначен для хранения учетных данных, таких как имена пользователей и пароли, используемых для входа на веб-сайты или другие компьютеры в сети. Эта политика используется диспетчером учетных данных в ходе архивации и восстановления, и ее не желательно предоставлять пользователям.
По умолчанию, как на рабочих станциях, так и на серверах, ни у одной группы нет на это разрешений.
. Данная политика безопасности отвечает за разрешение подключения к компьютеру по сети указанным пользователям или группам.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы»
и «Операторы архивации»
, «Пользователи»
и «Все»
. На контроллерах домена – «Администраторы»
, «Проверенные пользователи»
, «Контроллеры домена предприятия»
и «Все»
.
. Используя этот параметр политики, вы можете составить список пользователей, которые имеют право на использование команды «Завершение работы»
после удачного входа в систему.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы»
, «Операторы архивации»
и «Пользователи»
(только на рабочих станциях), а на контроллерах домена – «Администраторы»
, «Операторы архивации»
, «Операторы сервера»
и «Операторы печати»
.
. При помощи текущей политики вы можете указать пользователей, которым будут предоставлены права на динамическую загрузку и выгрузку драйверов устройств в режиме ядра, причем эта политика не распространяется на PnP-устройства.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы»
, а на контроллерах домена – «Администраторы»
и «Операторы печати»
.
. Используя данную политику безопасности, вы можете ограничить пользователей или группу от использования API-функции CreateProcessAsUser для того, чтобы одна служба могла запускать другую функцию, процесс или службу. Стоит обратить внимание на то, что такое приложение как «Планировщик заданий»
для своей работы использует данные привилегии.
По умолчанию, как на рабочих станциях, так и на контроллерах домена, данные привилегии предоставляются учетным записям «Сетевая служба»
и «Локальная служба»
.
. При помощи данной политики безопасности вы можете ограничить пользователей или группы от входа в систему в качестве клиента удаленных рабочих столов.
По умолчанию, как на рабочих станциях, так и на серверах, всем разрешено входить в систему как клиенту удаленных рабочих столов.
. Данная политика запрещает отдельным пользователям или группам выполнять вход в систему.
По умолчанию всем пользователям разрешен вход в систему.
. Благодаря данной политике назначения прав, вы можете предоставить возможность указанным пользователям или группам изменять метки целостности объектов других пользователей, таких как файлы, разделы реестра или процессы.
По умолчанию никому не разрешено изменять метки объектов.
. Используя эту политику безопасности, вы можете указать пользователей или группы, которым будет доступна возможность чтения переменных аппаратной среды. Переменные аппаратной среды — это параметры, сохраняемые в энергонезависимой памяти компьютеров, архитектура которых отлична от x86.
На рабочих станциях и контроллерах домена, по умолчанию данные привилегии предоставляются группам «Администраторы»
.
. Эта политика отвечает за изменение системного времени. Предоставив данное право пользователям или группам, вы тем самым кроме разрешения изменения даты и времени внутренних часов позволите им изменять соответствующее время отслеживаемых событий в оснастке «Просмотр событий»
.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы»
и «Локальная служба»
, а на контроллерах домена – «Администраторы»
, «Операторы сервера»
и «Локальная служба»
.
. При помощи текущей политики безопасности, вы можете указать пользователей или группы, которым разрешено изменять часовой пояс своего компьютера для отображения местного времени, которое представляет собой сумму системного времени компьютера и смещения часового пояса.
На рабочих станциях и контроллерах домена по умолчанию данные привилегии предоставляются группам «Администраторы»
и «Пользователи»
.
Применение политик назначение прав пользователей
В этом примере я расскажу, как можно назначить права для одной из групп вашей организации на контроллере домена. Выполните следующие действия:
Заключение
В данной статье мы продолжили изучение политик безопасности, а именно, узнали о политиках назначения прав пользователей. При помощи политик назначения прав пользователя вы можете сами определить, для каких пользователей или групп пользователей будут предоставлены различные права и привилегии. Подробно описаны 18 из 44 политик безопасности. На приведенном в статье примере вы также узнали о том, как можно применить данные политики в организации. В следующей статье вы узнаете политиках, управляющих журналами событий.
Тут ничего подробно расписывать не буду, да и не занимаюсь я администрированием сети, пусть лучше этим займется мастер своего дела — системный администратор.
2. Блокируем начало сеансов
Запускаем консоль администрирования серверов 1С:Предприятие, открываем свойства информационной базы и устанавливаем галочку для свойства Блокировка начала сеансов включена
. Учтите, что как только вы примените данное свойства, начало любых сеансов будет блокироваться, поэтому для выполнения следующего пункта конфигуратор должен быть запущен до применения свойства.
3. Делаем резервную копию
Тут уж как вам душа велит. Как по мне, самый простой и надежный способ создания резервной копии — это выгрузка информационной базы через конфигуратор.
4. Задаем локальные политики безопасности
Открываем консоль «Локальная политика безопасности» (в командной строке набираем secpol.msc). Переходим в раздел Локальные политики -> Назначение прав пользователя
и добавляем доменного пользователя в политики (см. рисунок 1):
- Вход в качестве пакетного задания
(Log on as batch job) — обеспечивает функционирование Планировщика заданий без необходимости для пользователя лично заходить в компьютер под своей учетной записью; - Вход в качестве службы
(Log on as service) — позволяет запустить от имени пользователя какой-либо процесс как службу.
Дополнительно, если требуется, пользователя можно добавить в политики:
- Доступ к компьютеру из сети
(Access this computer from the network) — пользователь имеет право подключаться к компьютеру из сети; - Локальный вход в систем
у (Allow log on locally) — пользователь имеет право запускать интерактивный сеанс на компьютере; - Разрешить вход через службу удаленных рабочих столов
(Allow log on through Remote Desktop Services) — пользователь имеет право входа в систему удаленного компьютера через подключение к службам удаленных рабочих столов.
5. Добавляем доменного пользователя в группы
Открываем консоль «Управление компьютером», переходим в раздел Служебные программы -> Локальные пользователи -> Пользователи
и смотрим в каких группах состоит локальный пользователь от имени которого работает служба «Агент сервера 1С:Предприятие» (обычно это пользователь USR1CV8) (см. рисунок 2).
В эти же группы добавляем доменного пользователя.
6. Запускаем агента от имени доменного пользователя
Открываем консоль «Службы», находим в списке службу «Агент сервера 1С:Предприятие» и открываем её свойства. На вкладке Общие
останавливаем службу, на вкладке Вход в систему
вместо локального пользователя указываем доменного (см. рисунок 3).
Переходим обратно на вкладку Общие
и запускаем службу. Если все правильно настроено, то служба стартует без проблем.
Вы можете сказать, что 2-ой и 3-й пункты избыточны, но лучше перебздеть, чем недобздеть. Инструкция справедлива не только для доменного пользователя, но и для локального.
Windows располагает хорошими средствами автоматизации рутинных действий что называется «из коробки». Начиная с Windows Vista, пользователям десктопных и серверных систем доступны функции входа в качестве службы и в качестве пакетного задания.
Что это значит? Если учетная запись пользователя имеет право входить в систему в качестве службы, то это позволяет запустить от его имени какой-либо процесс как службу. Соответственно, такой процесс наделяется всеми свойствами службы (например, автозапуском).
Что касается пакетных заданий, то данная система обеспечивает функционирование Планировщика заданий без необходимости для пользователя лично заходить в компьютер под своей учетной записью.
Для того, чтобы обе функции стали доступны, необходимо открыть Редактор локальных групповых политик командой gpedit.msc.
Далее откройте раздел Конфигурация компьютера → Конфигурация Windows → Параметры безопасности → Назначение прав пользователя.
Обе групповые политики редактируются одинаковым образом. Достаточно нажать кнопку Добавить пользователя или группу и выбрать соответствующего пользователя (соответствующую группу).
↑
- Remove From My Forums
-
Question
-
How do I configure a user account to have ‘logon as a service’ permissions?
This is for CRM application use and need to enable permission via GPO
Microsoft TechNet Forum Bandara
Answers
-
Hi,
It seems that you know the group policy “Log on as a service” can achieve your goal, so I would like to confirm what do you want to ask?
If you do not know the path of the group policy “Log on as a service” in domain, you may expend Computer ConfigurationWindows SettingsSecurity
SettingsLocal PoliciesUser Rights AssignmentLog on as a service in GPMC.Regards,
Please remember to click “Mark as Answer” on the post that helps you, and to click “Unmark as Answer” if a marked post does not actually answer your question. This can be beneficial to other community members reading the thread.
-
Marked as answer by
Monday, February 21, 2011 2:30 AM
-
Marked as answer by
- Remove From My Forums
-
Question
-
How do I configure a user account to have ‘logon as a service’ permissions?
This is for CRM application use and need to enable permission via GPO
Microsoft TechNet Forum Bandara
Answers
-
Hi,
It seems that you know the group policy “Log on as a service” can achieve your goal, so I would like to confirm what do you want to ask?
If you do not know the path of the group policy “Log on as a service” in domain, you may expend Computer ConfigurationWindows SettingsSecurity
SettingsLocal PoliciesUser Rights AssignmentLog on as a service in GPMC.Regards,
Please remember to click “Mark as Answer” on the post that helps you, and to click “Unmark as Answer” if a marked post does not actually answer your question. This can be beneficial to other community members reading the thread.
-
Marked as answer by
Monday, February 21, 2011 2:30 AM
-
Marked as answer by
При создании в планировщике windows задания и попытке его запустить выскакивает ошибка Данное задание требует, чтобы указанная учетная запись пользователя имела права вход в качестве пакетного задания. Дело в том что учетной записи от имени которой пытаюсь запустить не хватает прав.
Эта настройка безопасности позволяет пользователю входить в систему с помощью средства обработки пакетных заданий.
Например, если пользователь инициирует задание с помощью планировщика заданий, планировщик обеспечивает ему вход в систему как пакетному пользователю, а не как интерактивному.
Примечание
- В операционных системах Windows 2000 Server, Windows 2000 Professional, Windows XP Professional. и семейства Windows Server 2003 планировщик заданий автоматически предоставляет это право как обязательное.
Решить данную проблему можно либо в локальной либо в групповой политике прописать нужный параметр и дать нужному пользователю права по пути Учетной записи, от имени которой должно выполнятся задание, в «Локальной политике безопасностиКонфигурация компьютераКонфигурация WindowsПараметры безопасностиЛокальные политикиНазначение прав пользователя» должно быть выделено право «Вход в качестве пакетного задания» (В аноязычном интерфейсе будет в «Local policyComputer ConfigurationWindows SettingsSecurity SettingsLocal PoliciesUser Rights Assignment» выделятся «Log on as a batch job»).
по умолчанию права в этой группе имеют Администраторы и Операторы архива, их не забудьте сюда добавить в групповой политике, а то затрете их права.
В предыдущих статьях, посвященных локальным политикам безопасности, вы узнали о принципах работы политик учетных записей и политик аудита. Владея приобретенными знаниями, вы можете значительно обезопасить учетные данные ваших пользователей и отслеживать попытки несанкционированного доступа. Стоит учесть, что пользователи не владеют достаточной базой знаний по обеспечению безопасности и даже у обычного пользователя может быть достаточно привилегий для нанесения ущерба своей системе и даже компьютерам в вашей интрасети. Избежать подобных проблем помогают локальные политики безопасности назначения прав пользователя, о чем, собственно, и пойдет речь в данной статье. При помощи политик назначения прав пользователя вы можете сами определить, для каких пользователей или групп пользователей будут предоставлены различные права и привилегии. Оперируя данными политиками, вы можете не волноваться за то, что пользователи будут выполнять действия, которые им делать не положено. Для назначения прав доступны 44 политики безопасности, о применении которых далее пойдет речь.
Политики назначения прав пользователей
Как говорилось выше, для назначения прав пользователей существует 44 политики безопасности. Далее вы сможете ознакомиться с восемнадцатью политиками безопасности, которые отвечают за назначение различных прав для пользователей или групп вашей организации.
- Архивация файлов и каталогов
. При помощи данной политики вы можете указать пользователей или группы, предназначенные для выполнения операций резервного копирования файлов, каталогов, разделов реестра и других объектов, которые подлежат архивации. Данная политика предоставляет доступ для следующих разрешений:
- Обзор папок/Выполнение файлов
- Содержимое папки/Чтение данных
- Чтение атрибутов
- Чтение расширенных атрибутов
- Чтение разрешений
«Администраторы»
и «Операторы архивации»
, а на контроллерах домена – «Операторы архивации»
и «Операторы сервера»
.
. Используя эту политику безопасности, вы можете указать конкретных пользователей или группы, которым разрешается использовать процессы для сохранения данных в физической памяти для предотвращения сброса данных в виртуальную память на диске.
. Эта политика позволяет вам указывать пользователей и группы, которые могут выполнять восстановление файлов и каталогов, в обход блокировке файлов, каталогов, разделов реестра и прочих объектов, расположенных в архивных версиях файлов.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы»
и «Операторы архивации»
, а на контроллерах домена – «Операторы архивации»
и «Операторы сервера»
.
. При создании задания, используя планировщик заданий, операционная система регистрирует пользователя в системе как пользователя с пакетным входом. Данная политика разрешает группе или определенному пользователю входить в систему при помощи такого метода.
По умолчанию, как на рабочих станциях, так и на контроллерах домена, данные привилегии предоставляются группам «Администраторы»
и «Операторы архивации»
.
. Некоторые системные службы осуществляют вход в операционную систему под разными учетными записями. Например, служба «Windows Audio»
запускается под учетной записью «Локальная служба»
, служба «Телефония»
использует учетную запись «Сетевая служба»
. Данная политика безопасности определяет, какие учетные записи служб могут зарегистрировать процесс в качестве службы.
По умолчанию, как на рабочих станциях, так и на серверах, ни у одной группы нет на это разрешений.
. Используя эту политику, вы можете указать пользователей или группы, участники которых могут выполнять операции, предназначенные для обслуживания томов. У пользователей, обладающих такими привилегиями, есть права на чтение и изменение запрошенных данных после открытия дополнительных файлов, они также могут просматривать диски и добавлять файлы в память, занятую другими данными.
По умолчанию, такими правами обладают только администраторы рабочих станций и контроллеров домена.
. Эта политика отвечает за разрешение пользователям или группам добавлять компьютеры в домен Active Directory. Пользователь, обладающий данными привилегиями, может добавить в домен до десяти компьютеров.
По умолчанию, все пользователи, прошедшие проверку подлинности, на контроллерах домена могут добавлять до десяти компьютеров.
. Диспетчер учетных данных – это компонент, который предназначен для хранения учетных данных, таких как имена пользователей и пароли, используемых для входа на веб-сайты или другие компьютеры в сети. Эта политика используется диспетчером учетных данных в ходе архивации и восстановления, и ее не желательно предоставлять пользователям.
По умолчанию, как на рабочих станциях, так и на серверах, ни у одной группы нет на это разрешений.
. Данная политика безопасности отвечает за разрешение подключения к компьютеру по сети указанным пользователям или группам.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы»
и «Операторы архивации»
, «Пользователи»
и «Все»
. На контроллерах домена – «Администраторы»
, «Проверенные пользователи»
, «Контроллеры домена предприятия»
и «Все»
.
. Используя этот параметр политики, вы можете составить список пользователей, которые имеют право на использование команды «Завершение работы»
после удачного входа в систему.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы»
, «Операторы архивации»
и «Пользователи»
(только на рабочих станциях), а на контроллерах домена – «Администраторы»
, «Операторы архивации»
, «Операторы сервера»
и «Операторы печати»
.
. При помощи текущей политики вы можете указать пользователей, которым будут предоставлены права на динамическую загрузку и выгрузку драйверов устройств в режиме ядра, причем эта политика не распространяется на PnP-устройства.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы»
, а на контроллерах домена – «Администраторы»
и «Операторы печати»
.
. Используя данную политику безопасности, вы можете ограничить пользователей или группу от использования API-функции CreateProcessAsUser для того, чтобы одна служба могла запускать другую функцию, процесс или службу. Стоит обратить внимание на то, что такое приложение как «Планировщик заданий»
для своей работы использует данные привилегии.
По умолчанию, как на рабочих станциях, так и на контроллерах домена, данные привилегии предоставляются учетным записям «Сетевая служба»
и «Локальная служба»
.
. При помощи данной политики безопасности вы можете ограничить пользователей или группы от входа в систему в качестве клиента удаленных рабочих столов.
По умолчанию, как на рабочих станциях, так и на серверах, всем разрешено входить в систему как клиенту удаленных рабочих столов.
. Данная политика запрещает отдельным пользователям или группам выполнять вход в систему.
По умолчанию всем пользователям разрешен вход в систему.
. Благодаря данной политике назначения прав, вы можете предоставить возможность указанным пользователям или группам изменять метки целостности объектов других пользователей, таких как файлы, разделы реестра или процессы.
По умолчанию никому не разрешено изменять метки объектов.
. Используя эту политику безопасности, вы можете указать пользователей или группы, которым будет доступна возможность чтения переменных аппаратной среды. Переменные аппаратной среды — это параметры, сохраняемые в энергонезависимой памяти компьютеров, архитектура которых отлична от x86.
На рабочих станциях и контроллерах домена, по умолчанию данные привилегии предоставляются группам «Администраторы»
.
. Эта политика отвечает за изменение системного времени. Предоставив данное право пользователям или группам, вы тем самым кроме разрешения изменения даты и времени внутренних часов позволите им изменять соответствующее время отслеживаемых событий в оснастке «Просмотр событий»
.
На рабочих станциях и серверах данные привилегии предоставляются группам «Администраторы»
и «Локальная служба»
, а на контроллерах домена – «Администраторы»
, «Операторы сервера»
и «Локальная служба»
.
. При помощи текущей политики безопасности, вы можете указать пользователей или группы, которым разрешено изменять часовой пояс своего компьютера для отображения местного времени, которое представляет собой сумму системного времени компьютера и смещения часового пояса.
На рабочих станциях и контроллерах домена по умолчанию данные привилегии предоставляются группам «Администраторы»
и «Пользователи»
.
Применение политик назначение прав пользователей
В этом примере я расскажу, как можно назначить права для одной из групп вашей организации на контроллере домена. Выполните следующие действия:
Заключение
В данной статье мы продолжили изучение политик безопасности, а именно, узнали о политиках назначения прав пользователей. При помощи политик назначения прав пользователя вы можете сами определить, для каких пользователей или групп пользователей будут предоставлены различные права и привилегии. Подробно описаны 18 из 44 политик безопасности. На приведенном в статье примере вы также узнали о том, как можно применить данные политики в организации. В следующей статье вы узнаете политиках, управляющих журналами событий.
Тут ничего подробно расписывать не буду, да и не занимаюсь я администрированием сети, пусть лучше этим займется мастер своего дела — системный администратор.
2. Блокируем начало сеансов
Запускаем консоль администрирования серверов 1С:Предприятие, открываем свойства информационной базы и устанавливаем галочку для свойства Блокировка начала сеансов включена
. Учтите, что как только вы примените данное свойства, начало любых сеансов будет блокироваться, поэтому для выполнения следующего пункта конфигуратор должен быть запущен до применения свойства.
3. Делаем резервную копию
Тут уж как вам душа велит. Как по мне, самый простой и надежный способ создания резервной копии — это выгрузка информационной базы через конфигуратор.
4. Задаем локальные политики безопасности
Открываем консоль «Локальная политика безопасности» (в командной строке набираем secpol.msc). Переходим в раздел Локальные политики -> Назначение прав пользователя
и добавляем доменного пользователя в политики (см. рисунок 1):
- Вход в качестве пакетного задания
(Log on as batch job) — обеспечивает функционирование Планировщика заданий без необходимости для пользователя лично заходить в компьютер под своей учетной записью; - Вход в качестве службы
(Log on as service) — позволяет запустить от имени пользователя какой-либо процесс как службу.
Дополнительно, если требуется, пользователя можно добавить в политики:
- Доступ к компьютеру из сети
(Access this computer from the network) — пользователь имеет право подключаться к компьютеру из сети; - Локальный вход в систем
у (Allow log on locally) — пользователь имеет право запускать интерактивный сеанс на компьютере; - Разрешить вход через службу удаленных рабочих столов
(Allow log on through Remote Desktop Services) — пользователь имеет право входа в систему удаленного компьютера через подключение к службам удаленных рабочих столов.
5. Добавляем доменного пользователя в группы
Открываем консоль «Управление компьютером», переходим в раздел Служебные программы -> Локальные пользователи -> Пользователи
и смотрим в каких группах состоит локальный пользователь от имени которого работает служба «Агент сервера 1С:Предприятие» (обычно это пользователь USR1CV8) (см. рисунок 2).
В эти же группы добавляем доменного пользователя.
6. Запускаем агента от имени доменного пользователя
Открываем консоль «Службы», находим в списке службу «Агент сервера 1С:Предприятие» и открываем её свойства. На вкладке Общие
останавливаем службу, на вкладке Вход в систему
вместо локального пользователя указываем доменного (см. рисунок 3).
Переходим обратно на вкладку Общие
и запускаем службу. Если все правильно настроено, то служба стартует без проблем.
Вы можете сказать, что 2-ой и 3-й пункты избыточны, но лучше перебздеть, чем недобздеть. Инструкция справедлива не только для доменного пользователя, но и для локального.
Здравствуйте!
Сразу извиняюсь если подобная тема существует, просто не нашел ни чего подобного!
Ситуация такая: Домен под управлением Windows 2003 был мегрирован под Win2008. Операция прошла успешно, глюков долгое время не наблюдалось.
В дальнейшем в связи с вводом корпоративного антивируса Kaspersky установил, на сервер не являющийся контроллером домена, Kaspersky Administration Kid. Его служба начала вываливаться ежедневно. На форуме касперского, что нужно сделать такие манипуляции:
Для пользователя с которого запускается сервер администрирования необходимо в политике домена прописать разрешение на вход в качестве
службы (Локальная политика безопасновти —> Локальные политики —> Назначение прав пользователя и в пункт «Вход в качестве службы» добавить пользователя из под которого запускается сервер администраирования.)
Зашел в данный пункт меню, там кнопка добавить пользователя или группу не активна. Пишет:
данный параметр не совместим с пакетом обновления 1 для windows 2000 или более ранними версиями. Применяйте объекты групповой политики,содержащий
данный параметр только к компьютерам с более поздней версией.
Соответственно вопрос: как это поправить. устал ежедневно запускать службы
Обновлено 16.02.2017
ошибка Данное задание требует, чтобы указанная учетная запись пользователя имела права вход в качестве пакетного задания-01
При создании в планировщике windows задания и попытке его запустить выскакивает ошибка Данное задание требует, чтобы указанная учетная запись пользователя имела права вход в качестве пакетного задания. Дело в том что учетной записи от имени которой пытаюсь запустить не хватает прав.
Эта настройка безопасности позволяет пользователю входить в систему с помощью средства обработки пакетных заданий.
Например, если пользователь инициирует задание с помощью планировщика заданий, планировщик обеспечивает ему вход в систему как пакетному пользователю, а не как интерактивному.
Примечание
- В операционных системах Windows 2000 Server, Windows 2000 Professional, Windows XP Professional. и семейства Windows Server 2003 планировщик заданий автоматически предоставляет это право как обязательное.
Решить данную проблему можно либо в локальной либо в групповой политике прописать нужный параметр и дать нужному пользователю права по пути Учетной записи, от имени которой должно выполнятся задание, в «Локальной политике безопасностиКонфигурация компьютераКонфигурация WindowsПараметры безопасностиЛокальные политикиНазначение прав пользователя» должно быть выделено право «Вход в качестве пакетного задания» (В аноязычном интерфейсе будет в «Local policyComputer ConfigurationWindows SettingsSecurity SettingsLocal PoliciesUser Rights Assignment» выделятся «Log on as a batch job» ).
ошибка Данное задание требует, чтобы указанная учетная запись пользователя имела права вход в качестве пакетного задания-02
по умолчанию права в этой группе имеют Администраторы и Операторы архива, их не забудьте сюда добавить в групповой политике, а то затрете их права.
ошибка Данное задание требует, чтобы указанная учетная запись пользователя имела права вход в качестве пакетного задания-03
и еще В свойствах задания (на первой странице) НЕ ДОЛЖЕН БЫТЬ ВКЛЮЧЕН пункт «Выполнять только при выполненном входе в систему» или Выполнять вне зависимости от регистрации пользователя («Run if user logon»), в самом задании.
Фев 16, 2017 10:09
- Remove From My Forums
-
Question
-
I’m simply trying to configure Task Scheduler to run batch files in the middle of the night. So I created a task within the scheduler and have specified «Run whether the user is logged on or not». When I hit ok, it promots me for my username/password.
I’m a domain/enterprise admin logged into a domain account. It tells me;«This task requires that the user account specified has Log on as batch job rights»
Ok, so after looking this up I find myself editing the default domain policy:
Computer ConfigurationWindows SettingsSecurity SettingsLocal PoliciesUser Rights Assignment
I find the above user right, enable it and add my username. I log off, back on again and back into the scheduler. It still tells me I need this right. I checked, my username is there in the list beside the right.
Why can’t I create a schedule even with the right I’m supposed to have?
Thanks!
— Edit:
Ok I found this:
2. Type in secpol.msc /s
3. Select «Local Policies» in MSC snap in
4. Select «User Rights Assignment»
5. Right click on «Log on as batch job» and select Properties
6. Click «Add User or Group», and include the relevant user.
There’s a lot of users in here for different things but the Add User or Group button is greyed out. I’m a domain/enterprise administrator. Why can’t I add anything here?
Or put more simply, how do I give myself this right?
Thanks again
-
Edited by
Wednesday, November 30, 2011 9:27 PM
-
Edited by
Answers
-
Hi,
Thanks for your posting.
Do you mean you configured Task Scheduler on your DC, but when you tried to save the setting, you got error with “This
task requires that the user account specified has log on as batch job rights”?I think your issue is caused by “Default Domain Policy” or “Default Domain Controllers Policy”. Please
check Settings tab of these two GPOs in Group Policy Management Consult. Make sure your account is not be added in “Computer Configuration—>Policies—>Windows Settings—>Security Settings—>Local Policies—>User Rights Assignment—>Deny
log on as a batch job” and have correctly configured in “log on as a batch Job”.Or you can reset these two Default Policies
by referring to following article:
http://social.technet.microsoft.com/Forums/en/winserverDS/thread/e8a7c194-d3bf-4e1c-857c-7f779cc86705And for your question “There’s a lot of users in here for different things but the
Add User or Group button is greyed out”. I think this setting is overwritten by “Default Domain Controller Policy”, so you can’t modify the local policy.
Hope this can help! If you have any questions or confusions, please let us know.
Best Regards,
Lawrence
Please remember to click “Mark as Answer” on the post that helps you, and to click “Unmark as Answer” if a marked post does not actually answer your question. This can be beneficial to other community members reading the thread.
-
Marked as answer by
Lawrence,Lu
Friday, December 2, 2011 12:57 AM
-
Marked as answer by
-
This policy is grayed out because is overwritten by some particular domain policy. You should find that policy and edit it. Let Group Policy Management console -> Group Policy Results help you.
MCITP: Enterprise Administrator; MCT; Microsoft Security Trusted Advisor; CCNA; CCSI
-
Marked as answer by
meshman333
Thursday, December 1, 2011 1:29 PM
-
Marked as answer by
- Remove From My Forums
-
Question
-
I’m simply trying to configure Task Scheduler to run batch files in the middle of the night. So I created a task within the scheduler and have specified «Run whether the user is logged on or not». When I hit ok, it promots me for my username/password.
I’m a domain/enterprise admin logged into a domain account. It tells me;«This task requires that the user account specified has Log on as batch job rights»
Ok, so after looking this up I find myself editing the default domain policy:
Computer ConfigurationWindows SettingsSecurity SettingsLocal PoliciesUser Rights Assignment
I find the above user right, enable it and add my username. I log off, back on again and back into the scheduler. It still tells me I need this right. I checked, my username is there in the list beside the right.
Why can’t I create a schedule even with the right I’m supposed to have?
Thanks!
— Edit:
Ok I found this:
2. Type in secpol.msc /s
3. Select «Local Policies» in MSC snap in
4. Select «User Rights Assignment»
5. Right click on «Log on as batch job» and select Properties
6. Click «Add User or Group», and include the relevant user.
There’s a lot of users in here for different things but the Add User or Group button is greyed out. I’m a domain/enterprise administrator. Why can’t I add anything here?
Or put more simply, how do I give myself this right?
Thanks again
-
Edited by
Wednesday, November 30, 2011 9:27 PM
-
Edited by
Answers
-
Hi,
Thanks for your posting.
Do you mean you configured Task Scheduler on your DC, but when you tried to save the setting, you got error with “This
task requires that the user account specified has log on as batch job rights”?I think your issue is caused by “Default Domain Policy” or “Default Domain Controllers Policy”. Please
check Settings tab of these two GPOs in Group Policy Management Consult. Make sure your account is not be added in “Computer Configuration—>Policies—>Windows Settings—>Security Settings—>Local Policies—>User Rights Assignment—>Deny
log on as a batch job” and have correctly configured in “log on as a batch Job”.Or you can reset these two Default Policies
by referring to following article:
http://social.technet.microsoft.com/Forums/en/winserverDS/thread/e8a7c194-d3bf-4e1c-857c-7f779cc86705And for your question “There’s a lot of users in here for different things but the
Add User or Group button is greyed out”. I think this setting is overwritten by “Default Domain Controller Policy”, so you can’t modify the local policy.
Hope this can help! If you have any questions or confusions, please let us know.
Best Regards,
Lawrence
Please remember to click “Mark as Answer” on the post that helps you, and to click “Unmark as Answer” if a marked post does not actually answer your question. This can be beneficial to other community members reading the thread.
-
Marked as answer by
Lawrence,Lu
Friday, December 2, 2011 12:57 AM
-
Marked as answer by
-
This policy is grayed out because is overwritten by some particular domain policy. You should find that policy and edit it. Let Group Policy Management console -> Group Policy Results help you.
MCITP: Enterprise Administrator; MCT; Microsoft Security Trusted Advisor; CCNA; CCSI
-
Marked as answer by
meshman333
Thursday, December 1, 2011 1:29 PM
-
Marked as answer by
- Remove From My Forums
Не могу заставить работать планировщик
-
Вопрос
-
Есть необходимость выполнять планировщиком задание от имени пользователя, учётная запись которого присутствует, но вход в систему не произведён. Никак не могу этого добиться. Если планировщик настроен как показано ниже, то всё
работает, но для этого надо под этим пользователем войти в систему (локально или по терминалу).
Если же настроить планировщик «Выполнять вне зависимости от регистрации пользователя», то задание не выполняется в журнале отображается сообщение что задание запущено и «висит часами» без каких-либо ошибок или дальнейших сообщений.
Пробовал расставлять различные галочки «Не сохранять пароль…», «Выполнять с наивысшими …..» — ничего не меняется. В приведённых выше примерах автор задания тот пользователь от имени которого и надо выполнить
задание, делал автором «Администратора», создавая задание от его имени, также не работает.
im2002
Ответы
-
У пользователя есть права в Local Security Policy «Log on as a batch job»/»Вход в качестве пакетного задания»?
И еще — у CONS.EXE ключ /YES стоит?-
Изменено
20 апреля 2014 г. 18:49
-
Помечено в качестве ответа
im20002
21 апреля 2014 г. 4:58
-
Изменено