我真的很想知道这是否可能,如果是这样,你建议我在哪里寻找更多信息？我对Server 2003特别感兴趣.
我尝试了一些非常明显的网络搜索,但是组策略,Windows服务或权限(以及类似组合)的大部分结果最终讨论了如何通过GP启用或禁用特定服务,不允许用户或组执行手动那些东西.
一个非常轻微的警告：我看到一些服务不喜欢基于组策略的修改对服务的默认权限的情况(如果你想看看我在说什么,请查看关于Windows搜索服务的帖子关于：http://peeved.org/blog/2007/12/07),但这在我的经历中并不常见.
要在组策略编辑器中“查看”服务,您需要在安装了该服务的计算机上进行编辑. (如果这是一个股票Windows服务,那么它没什么大不了的,但是如果它是安装它的机器上的第三方获取的东西,“runas”MMC的副本,并抢占针对GPO的组策略编辑器你想把这些设置放在哪里.)
在“计算机设置”,“Windows设置”,“安全设置”和“系统服务”下,找到要授予启动/停止权限的服务,并定义策略设置.您必须选择启动类型.单击“编辑安全性”并修改默认ACL以包括您要查找的权限.
我建议在受限制的计算机组上测试GPO(通过将GPO连接到使用单台计算机的测试OU,或者将GPO过滤到只有一台计算机)并确保它在您运行之前完成所需的操作更改所有计算机上的安全性只是为了找出它不能做你想要的.
以下是ACE中各种条目对服务意味着什么的背景知识：
> http://support.microsoft.com/kb/914392
> http://msmvps.com/blogs/alunj/archive/2006/02/13/83472.aspx
要以SDDL表示法查看描述符,请使用“sc sdshow service-name”命令.
编辑：
授权创建新服务将会有点困难.有一个“SC_MANAGER_CREATE_SERVICE”权限可以授予全局对象管理器中服务控制管理器(SCM)对象上的用户.
在Windows Server 2003之前的Windows版本中,无法在SCM上更改权限.从W2K3 SP1开始,您可以更改SCM上的权限.
用于更改安全性的API是SetServiceObjectSecurity,此处提供了更多信息：http://msdn.microsoft.com/en-us/library/aa379589(VS.85).aspx
更多参考资料：可以授予SCM的权限和SCM上设置的默认DACL可在此处获取：http://msdn.microsoft.com/en-us/library/ms685981(VS.85).aspx
