Wie erteile ich Berechtigungen zum Remote-Starten / Stoppen eines Dienstes mit Powershell?

Wir haben ein PowerShell-Skript, das einen Dienst auf einem anderen Computer neu startet. Wenn wir die in PowerShell integrierten Cmdlets für die Dienststeuerung verwenden, gehen Sie wie folgt vor:

$svc = Get-Service -Name MyService -ComputerName myservicehostname
Stop-Service -InputObject $svc
Start-Service -InputObject $svc

Wir bekommen diesen Fehler zurück:

Stop-Service: Der MyService-Dienst kann auf dem Computer 'myservicehostname' nicht geöffnet werden.

Wenn wir jedoch sc.exe verwenden, wie folgt:

C:\Windows\System32\sc \\myservicehostname stop MyService
C:\Windows\System32\sc \\myservicehostname start MyService

Start und Stopp sind erfolgreich.

Der Benutzer, der den Neustart durchführt, ist kein Administrator. Wir verwenden subinacl, um dem Benutzer die Berechtigung zum Starten / Stoppen und Abfragen des Dienstes zu erteilen:

subinacl.exe /service MyService /GRANT=MyServiceControlUser=STO

Wie kommt es, dass PowerShell meinen Dienst nicht stoppen sc.exekann, aber kann?

Es stellte sich heraus, dass ich nicht genug Berechtigungen erteilt habesubinacl . Die möglichen Zugriffswerte für die Grant-Aktion sind:

    F : Full Control  
    R : Generic Read  
    W : Generic Write  
    X : Generic eXecute  
  or any following values  
    L : Read controL  
    Q : Query Service Configuration  
    S : Query Service Status  
    E : Enumerate Dependent Services  
    C : Service Change Configuration  
    T : Start Service  
    O : Stop Service  
    P : Pause/Continue Service  
    I : Interrogate Service  
    U : Service User-Defined Control Commands  

Ich habe S (Abfragedienststatus), T (Dienst starten) und O (Dienst beenden) verwendet. Ich brauchte auch E (Enumerate Dependent Services). Es scheint, dass die PowerShell-Cmdlets beim Starten / Stoppen abhängige Dienste berücksichtigen müssen.

Hier ist mein aktualisierter subinaclBefehl:

subinacl.exe /service MyService /GRANT=MyServiceControlUser=STOE

Wenn Sie nicht herunterladen / verwenden möchten, können subinacl.exeSie PowerShell über die Funktionen Grant-ServiceControlPermission oder Grant-ServicePermission des Carbon- Moduls verwenden . (HAFTUNGSAUSSCHLUSS: Ich bin der Eigentümer / Betreuer des Carbon-Projekts.)

Der folgende Befehl funktioniert wie erwartet auf meinem Windows Server 2008 R2-Computer.

Start-Service -InputObject $(Get-Service -Computer [ComputerName] -Name spooler)  

Können Sie diesen einmaligen Befehl auch versuchen, um festzustellen, ob dies funktioniert, und haben Sie überprüft, ob der Benutzer Mitglied einer Gruppe ist, die Mitglied der Benutzergruppe auf den Zielservern ist?