安全又省心授予標(biāo)準(zhǔn)用戶管理特定系統(tǒng)服務(wù)的權(quán)限

俞木發(fā)

方法1 使用SC.exe設(shè)置服務(wù)權(quán)限

假設(shè)現(xiàn)在用于本機(jī)系統(tǒng)維護(hù)的管理員賬戶是Administrator，平時(shí)登錄使用的標(biāo)準(zhǔn)賬戶是cfan，現(xiàn)在需要授予cfan對(duì)Spooler服務(wù)的管理權(quán)限。我們利用系統(tǒng)內(nèi)置的SC.exe命令即可實(shí)現(xiàn)。

先使用管理員賬戶登錄系統(tǒng)，啟動(dòng)命令提示符后輸入“sc.exe sdshow Spooler”命令并回車（輸入每條命令后均需回車確認(rèn)，下同），便可以看到Spooler服務(wù)的權(quán)限設(shè)置（圖2）。

服務(wù)權(quán)限的解釋：

括號(hào)外的“ D”表示“ DiscretionaryAccess Control List”（簡(jiǎn)寫為DACL），它是一種基于目標(biāo)資源所有者確定訪問權(quán)限的訪問控制模型，包含了用戶和組的列表，以及它們對(duì)指定服務(wù)Spooler擁有的相應(yīng)權(quán)限，如“允許”或“拒絕”。

括號(hào)外的“S”則表示“System Access ControlList”（簡(jiǎn)寫為SACL），它是系統(tǒng)中的一個(gè)列表，用來記錄指定用戶（組）、指定類型的訪問，并保存訪問記錄。

括號(hào)內(nèi)的第一個(gè)字母“A”表示允許、“D”表示拒絕權(quán)限，其后的一組符號(hào)是可分配的權(quán)限，最后兩個(gè)字母表示授予權(quán)限的對(duì)象（可以是用戶、組或SID），系統(tǒng)有一個(gè)預(yù)先定義的組列表與之對(duì)應(yīng)。

這樣，如果我們需要授予cfan賬戶對(duì)Spooler服務(wù)的管理權(quán)限，可以通過命令將該賬戶的SID添加到允許的列表中。同上，啟動(dòng)命令提示符后輸入并執(zhí)行“wmicuseraccountgetname，sid”，可以看到當(dāng)前電腦中所有賬戶的SID?，F(xiàn)在復(fù)制cfan賬戶的SID值以備用（圖3）。

繼續(xù)在上述的窗口中輸入并執(zhí)行“scsdsetSpooler"D：（A;;CCLCSWRPWPDTLOCRRC;;;SY）（A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA）（A;;CCLCSWLOCRRC;;;IU）（A;;CCLCSWLOCRRC;;;SU）（A;;RPWPCR;;;cfan賬戶的SID值）S：（AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD）"”，請(qǐng)自行更改其中“cfan賬戶的SID值”為實(shí)際使用賬戶的SID值，這樣命令便會(huì)將指定賬戶的SID添加到允許的控制權(quán)限中（圖4）。

完成上述的操作后，再切換到cfan賬戶并登錄系統(tǒng)?，F(xiàn)在如果cfan賬戶遇到打印機(jī)網(wǎng)絡(luò)故障，需要重啟Spooler服務(wù)，在如圖1所示的窗口中，就可以停止或者重啟該服務(wù)了（圖5）。

方法2 使用“Proces Ex plorer”更改

如果你覺得命令行的操作比較晦澀難懂，那么我們還可以借助微軟提供的免費(fèi)工具“Proc ess E xpl orer”（下載地址：ht tps：//docs.microsof t.com/zh-cn/sysinternals/downloads/process-explorer）來進(jìn)行更改。

首先以管理員身份啟動(dòng)“ProcessExplorer”，接著在左側(cè)的進(jìn)程列表中依次展開“wininit.exe→Services.exe”，雙擊其中的“spoolsv.exe”（圖6）。

然后在打開的窗口中切換到“服務(wù)”選項(xiàng)，點(diǎn)擊下方的“權(quán)限”按鈕，對(duì)該服務(wù)的權(quán)限進(jìn)行更改（圖7）。

接著在打開的權(quán)限設(shè)置窗口中選中cfan賬戶（如果在組和用戶名列表中沒有顯示cfan賬戶，則點(diǎn)擊“添加”將其加入到列表中），勾選下方的“完全控制”、“讀取”和“寫入”，最后依次點(diǎn)擊“確定”退出（圖8）。

這樣，cfan賬戶就擁有了對(duì)Spooler服務(wù)的完全控制權(quán)限，在遇到問題時(shí)自然就可以輕松地進(jìn)行服務(wù)的重啟操作了。其他服務(wù)權(quán)限的設(shè)置類似，大家可以根據(jù)實(shí)際需要，靈活地授予標(biāo)準(zhǔn)用戶管理指定服務(wù)的權(quán)限。