Dam*_*ell 8 permissions windows-service group-policy
是否可以使用组策略授予管理 Windows 服务的权限？
我真的很想知道这是否可行，如果可以，您建议我在哪里寻找更多信息？我对 Server 2003 特别感兴趣。
我尝试了一些非常明显的网络搜索，但大多数组策略、Windows 服务或权限（以及类似组合）的结果最终都在讨论如何通过 GP 启用或禁用特定服务，不允许用户或组这样做手动那些东西。
我可能会用我的方法吠叫错误的树。任何建议都非常感谢。
您绝对可以使用组策略授予用户启动/停止服务的权限。您只需要使用“安全”组策略客户端扩展修改服务上的安全描述符。
一个非常小的警告：我见过一些服务不喜欢基于组策略的修改对服务的默认权限的情况（如果您想了解我在说什么，请查看有关 Windows 搜索服务的帖子关于：http : //peeved.org/blog/2007/12/07），但这在我的经验中并不常见。
为了在组策略编辑器中“看到”该服务，您需要在安装了该服务的计算机上进行编辑。（如果这是一个股票 Windows 服务，那么它没什么大不了的，但是如果它是第三方在安装了它的机器上获取的东西，“运行”MMC 的副本，并管理一个针对 GPO 的组策略编辑器您想要放置这些设置的位置。）
在“计算机设置”、“Windows 设置”、“安全设置”和“系统服务”下，找到要授予启动/停止权限的服务并定义策略设置。您必须选择一种启动类型。单击“编辑安全性”并修改默认 ACL 以包含您要查找的权限。
我建议在受限制的计算机组上测试 GPO（通过将 GPO 链接到具有一台计算机的测试 OU，或通过将 GPO 过滤到仅一台计算机）并确保它在你去之前完成你想要的更改所有计算机上的安全性只是为了发现它不符合您的要求。
以下是 ACE 中各种条目对服务的含义的一些背景知识：
要查看 SDDL 表示法中的描述符，请使用“sc sdshow service-name”命令。
编辑：
创建新服务的授权会有点困难。全局对象管理器中的服务控制管理器 (SCM) 对象上有一个“SC_MANAGER_CREATE_SERVICE”权限可以授予用户。
在 Windows Server 2003 之前的 Windows 版本中，无法更改 SCM 上的权限。从 W2K3 SP1 开始，您可以更改 SCM 上的权限。
更改安全性的 API 是SetServiceObjectSecurity，更多信息可在此处获得：http : //msdn.microsoft.com/en-us/library/aa379589 ( VS.85) .aspx
更多参考：可以授予 SCM 的权限和 SCM 上设置的默认 DACL，请访问：http : //msdn.microsoft.com/en-us/library/ms685981(VS.85).aspx
简而言之，没有编写代码就无法做到这一点。没有神奇的注册表设置等。不过，如果您可以让某人为您编写代码，那是完全可行的。