安全又省心授予標準用戶管理特定系統服務的權限

俞木發

方法1 使用SC.exe設置服務權限

假設現在用于本機系統維護的管理員賬戶是Administrator，平時登錄使用的標準賬戶是cfan，現在需要授予cfan對Spooler服務的管理權限。我們利用系統內置的SC.exe命令即可實現。

先使用管理員賬戶登錄系統，啟動命令提示符后輸入“sc.exe sdshow Spooler”命令并回車（輸入每條命令后均需回車確認，下同），便可以看到Spooler服務的權限設置（圖2）。

服務權限的解釋：

括號外的“ D”表示“ DiscretionaryAccess Control List”（簡寫為DACL），它是一種基于目標資源所有者確定訪問權限的訪問控制模型，包含了用戶和組的列表，以及它們對指定服務Spooler擁有的相應權限，如“允許”或“拒絕”。

括號外的“S”則表示“System Access ControlList”（簡寫為SACL），它是系統中的一個列表，用來記錄指定用戶（組）、指定類型的訪問，并保存訪問記錄。

括號內的第一個字母“A”表示允許、“D”表示拒絕權限，其后的一組符號是可分配的權限，最后兩個字母表示授予權限的對象（可以是用戶、組或SID），系統有一個預先定義的組列表與之對應。

這樣，如果我們需要授予cfan賬戶對Spooler服務的管理權限，可以通過命令將該賬戶的SID添加到允許的列表中。同上，啟動命令提示符后輸入并執行“wmicuseraccountgetname，sid”，可以看到當前電腦中所有賬戶的SID。現在復制cfan賬戶的SID值以備用（圖3）。

繼續在上述的窗口中輸入并執行“scsdsetSpooler"D：（A;;CCLCSWRPWPDTLOCRRC;;;SY）（A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA）（A;;CCLCSWLOCRRC;;;IU）（A;;CCLCSWLOCRRC;;;SU）（A;;RPWPCR;;;cfan賬戶的SID值）S：（AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD）"”，請自行更改其中“cfan賬戶的SID值”為實際使用賬戶的SID值，這樣命令便會將指定賬戶的SID添加到允許的控制權限中（圖4）。

完成上述的操作后，再切換到cfan賬戶并登錄系統。現在如果cfan賬戶遇到打印機網絡故障，需要重啟Spooler服務，在如圖1所示的窗口中，就可以停止或者重啟該服務了（圖5）。

方法2 使用“Proces Ex plorer”更改

如果你覺得命令行的操作比較晦澀難懂，那么我們還可以借助微軟提供的免費工具“Proc ess E xpl orer”（下載地址：ht tps：//docs.microsof t.com/zh-cn/sysinternals/downloads/process-explorer）來進行更改。

首先以管理員身份啟動“ProcessExplorer”，接著在左側的進程列表中依次展開“wininit.exe→Services.exe”，雙擊其中的“spoolsv.exe”（圖6）。

然后在打開的窗口中切換到“服務”選項，點擊下方的“權限”按鈕，對該服務的權限進行更改（圖7）。

接著在打開的權限設置窗口中選中cfan賬戶（如果在組和用戶名列表中沒有顯示cfan賬戶，則點擊“添加”將其加入到列表中），勾選下方的“完全控制”、“讀取”和“寫入”，最后依次點擊“確定”退出（圖8）。

這樣，cfan賬戶就擁有了對Spooler服務的完全控制權限，在遇到問題時自然就可以輕松地進行服務的重啟操作了。其他服務權限的設置類似，大家可以根據實際需要，靈活地授予標準用戶管理指定服務的權限。