JAK: Udzielanie u�ytkownikom praw do zarz�dzania us�ugami w systemie Windows 2000

Numer ID artyku�u: 288129 - Zobacz jakich produkt�w dotycz� zawarte w tym artykule porady.

Ten artyku� zosta� opublikowany wcze�niej pod numerem PL288129

W tym artykule opisano kilka metod udzielania u�ytkownikom praw do zarz�dzania us�ugami w systemie Windows 2000. Domy�lnie w systemie Windows 2000 tylko administratorzy i u�ytkownicy zaawansowani mog� uruchamia�, zatrzymywa� lub wstrzymywa� us�ugi. W tym artykule opisano techniki udost�pniania tych praw innym u�ytkownikom i grupom.

Metoda 1: Udzielanie praw przy u�yciu zasad grupy

U�ytkownikom mo�na udzieli� praw, korzystaj�c z zasad grupy. Aby uzyska� wi�cej informacji, jak to zrobi�, kliknij numer artyku�u poni�ej w celu wy�wietlenia tego artyku�u z bazy wiedzy Microsoft Knowledge Base:

256345

(http://support.microsoft.com/kb/256345/ )

Configuring Group Policies to Set Security for System Services

Ten artyku� zawiera szczeg�owe instrukcje opisuj�ce krok po kroku, co nale�y zrobi�. W artykule nie zosta�o jednak wyra�nie stwierdzone, �e w lokalnych zasadach grupy nie ma odpowiednich ustawie�.

Metoda 2: Udzielanie u�ytkownikom praw przy u�yciu szablon�w zabezpiecze�

Metoda ta jest bardzo podobna do metody 1, ale do zmiany uprawnie� us�ug systemowych wykorzystywane s� szablony zabezpiecze�. Aby to zrobi�, wykonaj nast�puj�ce kroki:

Kliknij przycisk Start, kliknij polecenie Uruchom, a nast�pnie wpisz polecenie MMC.
W menu Konsola kliknij polecenie Dodaj/Usu� przystawk�.
Kliknij przycisk Dodaj.
Wybierz przystawk� Konfiguracja i analiza zabezpiecze�, a nast�pnie kliknij przycisk Dodaj.
Kliknij przycisk Zamknij, a nast�pnie kliknij przycisk OK.
W konsoli MMC prawym przyciskiem myszy kliknij element Konfiguracja i analiza zabezpiecze�, a nast�pnie kliknij polecenie Otw�rz baz� danych.
Nadaj nazw� bazie danych, a nast�pnie przejd� do miejsca, w kt�rym chcesz j� zachowa�.
Po pojawieniu si� monitu wybierz szablon zabezpiecze� do zaimportowania. Na przyk�ad plik �basicwk.inf� zawiera warto�ci ustawie� standardowych odnalezionych na komputerze z systemem Windows 2000 Professional.
W konsoli MMC prawym przyciskiem myszy kliknij element Konfiguracja i analiza zabezpiecze�, a nast�pnie kliknij polecenie Analizuj komputer teraz. Wybierz lokalizacj� pliku dziennika po pojawieniu si� monitu.
Po uko�czeniu analizy skonfiguruj uprawnienia us�ugi w nast�puj�cy spos�b:
1. Kliknij dwukrotnie ga�� Us�ugi systemowe w konsoli MMC.
2. Prawym przyciskiem myszy kliknij us�ug�, kt�r� chcesz zmieni�, a nast�pnie kliknij polecenie Zabezpieczenia.
3. Kliknij przycisk Edytuj zabezpieczenia.
4. Dodaj konta u�ytkownik�w zgodnie z wymaganiami i skonfiguruj uprawnienia dla ka�dego konta. Domy�lnie u�ytkownik otrzyma uprawnienia �Rozpocznij, zatrzymaj i wstrzymaj�.
Aby zastosowa� nowe ustawienia do komputera lokalnego, kliknij po prostu prawym przyciskiem myszy element Konfiguracja i analiza zabezpiecze�, a nast�pnie kliknij opcj� Konfiguruj komputer teraz.

Mo�na r�wnie� wyeksportowa� zmodyfikowane ustawienia z konsoli MMC i zastosowa� je do wielu komputer�w przy u�yciu narz�dzia wiersza polecenia SECEDIT, dostarczonego z systemem Windows 2000. Aby uzyska� wi�cej informacji dotycz�cych u�ywania narz�dzia SECEDIT, wpisz nast�puj�ce polecenie w wierszu polecenia:

secedit /?

UWAGA: Zastosowanie ustawie� w taki spos�b spowoduje ponowne zastosowanie wszystkich ustawie� w szablonie i mo�e spowodowa� zast�pienie innych uprawnie� plik�w, Rejestru lub us�ug ustawionych w inny spos�b.

Metoda 3: Udzielanie praw przy u�yciu pliku Subinacl.exe

Ostatni� z metod przydzielania praw do zarz�dzania us�ugami jest u�ycie narz�dzia Subinacl.exe z zestawu Windows 2000 Resource Kit. Sk�adnia jest nast�puj�ca:

SUBINACL /SERVICE \\Nazwa_komputera\Nazwa_us�ugi /GRANT=[Nazwa_domeny\]Nazwa_u�ytkownika[=Dost�p]

Uwagi

U�ytkownik wykonuj�cy to polecenie musi mie� prawa administratora, aby zosta�o wykonane pomy�lnie.
Je�eli zostanie pomini�ty parametr �Nazwa_komputera�, zostanie przyj�te za�o�enie, �e u�ywany jest komputer lokalny.
Je�eli zostanie pomini�ty parametr �Nazwa_domeny�, w celu odnalezienie konta przeszukiwany jest komputer lokalny.
Mimo �e przyk�adowa sk�adnia wskazuje nazw� u�ytkownika, b�dzie dzia�a� r�wnie� w przypadku grup u�ytkownik�w.

Parametr �Dost�p� mo�e mie� nast�puj�ce warto�ci:

   F: Pe�na kontrola
   R: Odczyt rodzajowy
   W: Zapis rodzajowy
   X: Wykonanie rodzajowe
   L: Kontrola odczytu
   Q: Badanie konfiguracji us�ugi
   S: Badanie stanu us�ugi
   E: Wymienianie zale�nych us�ug
   C: Konfiguracja zmiany us�ugi
   T: Uruchamianie us�ugi
   O: Zatrzymywanie us�ugi
   P: Wstrzymywanie/Kontynuacja us�ugi
   I: Pytanie us�ugi 
   U: Polecenia kontroli us�ugi zdefiniowanej przez u�ytkownika

Je�eli parametr �Dost�p� zostanie pomini�ty, zostanie zastosowana warto�� F� (Pe�na kontrola).
Narz�dzie Subinacl obs�uguje podobne funkcje w stosunku do plik�w, folder�w i kluczy Rejestru. Zapoznaj si� z zestawem Windows 2000 Resource Kit, aby uzyska� wi�cej informacji.

Automatyzacja wielu zmian

Narz�dzie Subinacl nie ma opcji, dzi�ki kt�rej mo�na ustawi� wymagany dost�p dla wszystkich us�ug na danym komputerze. Nast�puj�cy przyk�adowy skrypt pokazuje jednak spos�b na poszerzenie zakresu powy�szej metody, tak aby zautomatyzowa� zadanie:

   strDomain   = Wscript.Arguments.Item(0)'domena, do kt�rej nale�y konto komputera
   strComputer = Wscript.Arguments.Item(1)'nazwa netbios komputera
   strSecPrinc = Wscript.Arguments.Item(2)'nazwa logowania u�ytkownika, taka jak: Nazwa_domeny\Nazwa_u�ytkownika
   strAccess   = Wscript.Arguments.Item(3)'przyznany dost�p, tak jak na li�cie w artykule KB
 
   'powi�zanie z okre�lonym komputerem
   set objTarget = GetObject("WinNT://" & strDomain & "/" & strComputer & ",computer")

   'utworzenie objektu pow�oki. Potrzebne do p�niejszego wywo�ania subinacl
   set objCMD = CreateObject("Wscript.Shell")

   'pobranie listy us�ug
   objTarget.filter = Array("Service")

   For each Service in objTarget
 
   'wywo�anie subinacl do ustawienia uprawnie�
   command = "subinacl /service " & Service.name & " /grant=" & strSecPrinc & "=" & strAccess
   objCMD.Run command, 0

   'raport o zmianie us�ug
   Wscript.Echo "User rights changed for " & Service.name & " service"
   next

Uwagi

Skrypt nale�y zapisa� jako plik .vbs, taki jak �Services.vbs� i nazwa� go w nast�puj�cy spos�b:
```
   CSRIPT Services.vbs Nazwa_domeny Nazwa_komputera Nazwa_u�ytkownika Dost�p
```
Wiersz �Wscript.Echo ...� nale�y umie�ci� w znacznikach komentarza albo usun��, je�eli odpowied� nie jest wymagana.
Ten przyk�ad nie by� sprawdzany pod k�tem b��d�w, nale�y wi�c korzysta� z niego ostro�nie.
W zestawie Windows 2000 Resource Kit wymieniono inne narz�dzie (svcacls.exe), kt�re manipuluje prawami do zarz�dzania us�ugami w taki sam spos�b jak narz�dzie Subinacl. Jest to b��d dokumentacji.