Как предоставить разрешения на запуск / остановку / перезапуск службы для произвольного пользователя или группы на сервере, не являющемся членом домена?

У нас есть набор служб Windows, работающих на наших серверах, которые выполняют множество автоматизированных задач независимо друг от друга, за исключением одной службы, которая заботится о других службах.

В случае, если одна из служб не отвечает или зависает, эта служба пытается перезапустить службу и, если во время попытки возникает исключение, вместо этого отправляет электронное письмо в службу поддержки, чтобы они могли сами перезапустить службу.

Проведя небольшое исследование, я наткнулся на несколько «решений», которые варьируются от обходного пути, упомянутого в KB907460, до предоставления учетной записи, под которой служба работает с правами администратора.

Меня не устраивает ни один из этих методов - я не понимаю последствий первого метода, описанного в статье базы знаний Microsoft, но я определенно не хочу предоставлять администратору доступ к учетной записи, под которой работает служба. ,

Я быстро просмотрел Политику локальной безопасности и, кроме политики, которая определяет, может ли учетная запись входить в систему как служба, я не вижу ничего другого, похожего на сервисы.

Мы выполняем это на Server 2003 и Server 2008, поэтому любые идеи или указатели будут любезно приняты!

Пояснение: я не хочу предоставлять возможность запускать / останавливать / перезапускать ВСЕ сервисы для данного пользователя или группы - я хочу иметь возможность предоставлять разрешение на это только для определенных сервисов, для данного пользователя или группы.

Дальнейшее пояснение: серверы, на которые мне необходимо предоставить эти разрешения, не принадлежат домену - это два сервера, подключенных к Интернету, которые принимают файлы, обрабатывают их и отправляют их третьим сторонам, а также обслуживают несколько веб-сайтов, поэтому Групповая политика Active Directory невозможна. Извините, что я не прояснил это.

По-видимому, не существует способа сделать это на основе графического интерфейса, если вы не присоединены к домену - по крайней мере, я не смог найти его где-либо - поэтому я немного покопался и нашел ответ, который подходит для наша ситуация.

Я не понимал, что означает представление строки в статье базы знаний, но немного покопавшись, я понял, что это синтаксис SDDL. Дальнейшие исследования привели меня к этой статье Алуна Джонса, в которой объясняется, как получить дескриптор безопасности для службы и что означает каждый бит. MS KB914392 имеет больше деталей.

Чтобы добавить к существующему дескриптору безопасности службы, используйте sc sdshow "Service Name"для получения существующего дескриптора. Если это обычный старый .NET Windows Service - как в нашем случае - дескриптор безопасности должен выглядеть примерно так:

D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOC
RRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;CR;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)S:(AU;FA
;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

Нам нужно было предоставить разрешения RP(для запуска службы), WP(для остановки службы), DT(для приостановки / продолжения службы) и LO(для запроса текущего состояния службы). Это можно сделать, добавив нашу учетную запись службы в группу «Опытные пользователи», но я хочу предоставить индивидуальный доступ только к учетной записи, под которой работает служба поддержки.

Используя runasкоманду, чтобы открыть командную строку под учетной записью службы, я запустил, whoami /allкоторый дал мне идентификатор безопасности учетной записи службы, а затем создал дополнительный SDDL ниже:

(A;;RPWPDTLO;;;S-x-x-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxx-xxxx)

Затем он добавляется в раздел D: строки SDDL выше:

D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOC
RRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;CR;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU)(A;;RPWP
DTLO;;;S-x-x-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxx-xxxx)S:(AU;FA;CCDCLCSWRPWPDTLOC
RSDRCWDWO;;;WD)

Затем это применяется к службе с помощью sc sdsetкоманды:

sc sdset "Service Name" D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;
CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;CR;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;PU
)(A;;RPWPDTLO;;;S-x-x-xx-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxx-xxxx)S:(AU;FA;CCDCLCSW
RPWPDTLOCRSDRCWDWO;;;WD)

Если все идет по плану, сервис может быть запущен, остановлен, поставлен на паузу, и его статус запрашивается пользователем, определенным SID выше.

У меня просто была такая же проблема.
Вы можете использовать SubInACL.exe из Resource Kit. Загрузите отдельную утилиту здесь: http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=23510.

Используйте msiexec /a PathToMSIFile /qb TARGETDIR=DirectoryToExtractToдля извлечения файлов, если вы не хотите устанавливать MSI

1. Откройте командную строку от имени администратора
2. Перейдите в каталог, куда вы поместили .exe
3. Бегать subinacl /service SERVICE_NAME /grant=COMPUTER_NAME\USERNAME=TOP

T = запустить сервис
O = остановить сервис
P = приостановить / продолжить сервис

Полная ссылка: Как предоставить пользователям права на управление службами в Windows 2000
или типаsubinacl /help

Примечание: не пытайтесь, так subinacl /service SERVICE_NAME /permкак это может привести к неприятностям (извлеченный урок: P). Имя может вводить в заблуждение (perm! = Разрешение), так как оно удаляет все разрешения для всех пользователей (даже для администратора!).

Вы ищете Конфигурация компьютера - Политики - Параметры Windows - Параметры безопасности - Системные службы

Там вы можете не только определить тип запуска службы, но и настроить списки безопасности для каждой службы. По умолчанию интерфейс будет перечислять только те службы, которые установлены на компьютере, на котором запущен редактор GP.

Чтобы добавить службы, которые существуют только на другом компьютере:

• экспортировать reg-ключ службы с другого компьютера
• импорт на машину gpedit
• применить политику
• удалить импортированный ключ

Я использовал SubinAcl (как предложено patrx), чтобы иметь возможность запускать MySQL как обычный пользователь домена (не администратор), и он отлично работает! (однако команда должна быть выполнена как -local как минимум-Admin)

Команда:

[PATH_TO_SUBACL]\subinacl.exe /service MySQL /grant=[Domain User - Without domain]=TOP

Просто обратите внимание, что я ввел пользователя без добавления префикса к домену ... в противном случае команда не выполняется при разборе!