遠程安裝Windows Service所需的最低特權

Question

為了使用sc.exe安裝服務，需要分配一個帳戶所需的最少特權是什么？ 具有帳戶特權的意思是Windows Server 2003中的本地安全設置。

該服務需要作為部署腳本的一部分進行安裝，並通過發出類似以下命令的內容在該服務器上遠程完成：

sc \\<server> create <servicename> binPath=<directory\service.exe> start=auto

Answer 1

遠程安裝服務除了具有登錄權限外，在目標計算機上不需要任何特權。 但是使用的帳戶必須在計算機的服務控制管理器上具有SC_MANAGER_CREATE_SERVICE訪問權限。 默認情況下，僅將此權限授予Administrators組的成員。 因此，默認情況下，安裝帳戶必須是目標計算機上的管理員。

對於Windows Server 2003 SP1之前的系統（例如W2K3，XP，W2K等），無法更改SCM安全描述符，因此，故事到此為止-您必須是管理員才能安裝服務。

對於W2K3 SP1和更高版本，如果您不想以管理員身份運行腳本，則可以在目標計算機的服務控制管理器上修改安全描述符，以包括具有適當權限的腳本所運行的帳戶的ACE（ s）。 通常，最好重新考慮部署過程以使用管理帳戶進行服務安裝。