Разрешить взаимодействие с рабочим столом что это

Исправлено: служба не запускалась из-за ошибки входа

Когда вы страдаете от того, что служба не запускается из-за ошибки входа в систему, особенно при перезапуске сервера Windows, проблема обычно связана с изменением пароля для профиля, используемого агентом SQL Server .

Однако иногда пароль может оставаться прежним, и вы уверены, что не внесли никаких изменений.

В дополнение к этому вы устали менять используемую регистрационную информацию и возвращать ее обратно к своей первоначальной доменной учетной записи постоянно, чего вы не можете продолжать делать каждый раз, когда что-то идет не так.

Выше может произойти из-за:

• Смена пароля для учетной записи, с которой служба настроена для входа
• Данные пароля повреждены (в реестре)
• Право на вход в систему в качестве службы было отменено для указанной учетной записи пользователя

Не нужно беспокоиться об этом, поскольку у нас есть только правильные решения для решения проблем, при которых служба не запускалась из-за ошибки входа в систему, ознакомьтесь с приведенными ниже решениями.

Как исправить сервис не запускался из-за ошибки входа в систему

1. Настройте службу для использования встроенной системной учетной записи
2. Измените пароль для указанной учетной записи пользователя, чтобы он соответствовал текущему паролю для того же пользователя.
3. Восстановить право пользователя на вход в систему как сервис

Решение 1. Настройте службу на использование встроенной системной учетной записи.

Если служба не запустилась из-за ошибки входа в систему, настройте ее на запуск со встроенной системной учетной записью, выполнив следующие действия:

1. Нажмите клавишу Windows + R, чтобы открыть командную строку « Запуск с повышенными правами».
2. Введите services.msc и нажмите Enter.
3. Найдите службу идентификации приложений , щелкните ее правой кнопкой мыши и откройте Свойства .
4. Нажмите вкладку Вход в систему .
5. Нажмите Локальная системная учетная запись
6. Не устанавливайте флажок Разрешить взаимодействие с рабочим столом
7. Нажмите Применить
8. Нажмите вкладку Общие
9. Нажмите Пуск, чтобы перезапустить службу
10. Закройте инструмент Services.

Примечание. При попытке открыть свойства службы с помощью средства «Службы» на панели управления компьютер может перестать отвечать на запросы и получить сообщение об ошибке: «Сервер RPC недоступен .

Это может произойти, если служба RPC не запущена из-за сбоя входа в систему со службой или службы зависимостей, поскольку некоторым приходится ждать, пока их службы зависимостей не запустятся, прежде чем они запустятся.

• ТАКЖЕ ЧИТАЙТЕ: экран входа в систему Windows 10 медленный, застрял, заморожен [FIX]

Решение 2. Измените пароль для указанной учетной записи пользователя, чтобы он совпадал с текущим паролем для того же пользователя.

Вот как настроить пароль для указанной учетной записи пользователя в соответствии с текущим паролем для этого пользователя:

1. Снова перейдите к Сервисам, следуя инструкциям предыдущего решения.
2. В поле поиска введите Администрирование и нажмите на него
3. Нажмите Услуги
4. Щелкните правой кнопкой мыши по нужному сервису и выберите «Свойства».
5. Нажмите вкладку Вход в систему
6. Измените пароль, затем нажмите Применить
7. Нажмите вкладку Общие
8. Нажмите Пуск, чтобы перезапустить службу
9. Нажмите OK и закройте инструмент Services

Решение 3. Восстановите право пользователя на вход в систему в качестве службы

Если право на вход в систему в качестве службы аннулировано для учетной записи пользователя, восстановите его на контроллере домена или рядовом сервере (автономно) в зависимости от вашей ситуации.

Как восстановить права пользователя на контроллере домена

Вот как это сделать, если пользователь находится в домене Active Directory:

1. Щелкните правой кнопкой мыши Пуск
2. Нажмите Панель управления
3. Введите Административные инструменты и выберите его
4. Нажмите Active Directory — пользователии компьютеры.
5. Щелкните правой кнопкой мыши организационную единицу, в которой предоставлено право пользователя на вход в систему в качестве службы (по умолчанию организационная единица контроллеров домена)
6. Щелкните правой кнопкой мыши нужный контейнер, затем выберите « Свойства».
7. Перейти на вкладку групповой политики
8. Нажмите Политика контроллеров домена по умолчанию
9. Нажмите Редактировать, чтобы запустить диспетчер групповой политики.
10. Развернуть Конфигурация компьютера
11. Развернуть настройки Windows
12. Разверните Настройки безопасности .
13. Развернуть Локальные политики
14. Нажмите Назначение прав пользователя.
15. Щелкните правой кнопкой мыши Вход в качестве службы на правой панели.
16. щелчок Добавить пользователя или группу .
17. Введите имя, которое вы хотите добавить в политику, в поле Имена пользователей и групп
18. Нажмите ОК .
19. Выход из диспетчера групповой политики
20. Закрыть свойства групповой политики,
21. Выход из оснастки «Active Directory — пользователи и компьютеры» консоли управления (MMC)

Как восстановить права пользователя на рядовом сервере (автономно)

Вот как это сделать, если пользователь является участником автономного рядового сервера:

1. Запустите оснастку MMC «Локальные параметры безопасности».
2. Разверните Локальные политики.
3. Нажмите Назначение прав пользователя .
4. Щелкните правой кнопкой мыши Вход в качестве службына правой панели.
5. НажмитеДобавить пользователя или группу .
6. Введите имя, которое вы хотите добавить в политику, в поле Имена пользователей и групп .
7. Нажмите ОК .
8. Закройте оснастку MMC «Локальные параметры безопасности».

Помогло ли какое-либо из приведенных выше решений исправить службу, не запущенную из-за ошибки входа в систему? Дайте нам знать ваш опыт в разделе комментариев ниже.

Примечание редактора: этот пост был первоначально опубликован в декабре 2017 года и с тех пор был полностью переработан и обновлен для обеспечения свежести, точности и полноты.

Запуск службы от пользователя

По умолчанию обычные пользователи, не обладающие правами администратора системы, не могут управлять системными (и большинством прикладных) службами Windows. Это означает, что они не могут останавливать, запускать (перезапускать), изменять настройки и разрешения таких служб. В некоторых случаях все-таки требуется, чтобы у пользователя были права на перезапуск и управление определенными службами. В этой статье мы разберем несколько способов управления правами на службы Windows. В частности, мы покажем, как предоставить обычному пользователю, без прав администратора Windows, права на запуск, остановку и перезапуск определенной службы.

Предположим, нам нужно предоставить доменной учетной записи contoso user права на перезапуск службы печати (Print Spooler) с системным именем Spooler.

Простого и удобного встроенного инструмента для управления разрешениями на службы в Windows нет. Мы рассмотрим несколько способ предоставления пользователю прав на службу:

Какой из них проще и удобнее – решать Вам.

Встроенная утилита SC.exe (Service controller)

Стандартный, встроенный в Windows способ управления правами на службы системы предусматривает использование утилиты sc.exe (Service Controller).

Главная, проблема – зубодробительный синтаксис формата предоставления прав на сервис (формат SDDL).

Получить текущие права на службу можно так:

sc.exe sdshow Spooler

Что значат все эти символы?

Первая буква после скобок означает: разрешить (A, Allow) или запретить (D, Deny).

Следующая пачка символов – назначаемые права.

Последние 2 буквы, объекты (группа пользователей или SID), котором предоставляются права. Есть список предустановленных групп.

AO Account operators
RU Alias to allow previous Windows 2000
AN Anonymous logon
AU Authenticated users
BA Built-in administrators
BG Built-in guests
BO Backup operators
BU Built-in users
CA Certificate server administrators
CG Creator group
CO Creator owner
DA Domain administrators
DC Domain computers
DD Domain controllers
DG Domain guests
DU Domain users
EA Enterprise administrators
ED Enterprise domain controllers
WD Everyone
PA Group Policy administrators
IU Interactively logged-on user
LA Local administrator
LG Local guest
LS Local service account
SY Local system
NU Network logon user
NO Network configuration operators
NS Network service account
PO Printer operators
PS Personal self
PU Power users
RS RAS servers group
RD Terminal server users
RE Replicator
RC Restricted code
SA Schema administrators
SO Server operators
SU Service logon user

Можно вместо предустановленной группы явно указать пользователя или группу по SID. Получить SID пользователя для текущего пользователя можно с помощью команды:

или для любого пользователя домена с помощью PowerShell комаднлета Get-ADUser:

Get-ADUser -Identity ‘iipeshkov’ | select SID

К примеру, права пользователю на службу spooler могут быть предоставлены следующей командой:

SubInACL: назначаем права на службы с помощью утилиты Sysinternals

Гораздо проще воспользоваться консольной утилитой SubInACL из комплекта Sysinternals от Марка Руссиновича (права на которую вместе с автором теперь принадлежат Microsoft). Синтаксис этой утилиты гораздо проще и удобнее для восприятия. Как предоставить права перезапуска на службу с помощью SubInACL:

1. Скачайте msi со страницы (https://www.microsoft.com/en-us/download/details.aspx? />
2. В командной строке с правами администратора перейдите в каталог с утилитой: cd “ C:Program Files (x86)Windows Resource KitsTools) ”
3. Выполните команду: subinacl.exe /service Spooler /grant=contoso user=PTO

Если нужно предоставить права на службу, запущенную на удаленном компьютере, синтаксис будет такой:
subinacl /SERVICE \msk-buh01spooler /grant=contoso user=F

Если вы все сделали верно, служба должна остановиться и запуститься заново.

Process Explorer: Установка разрешений на службу

Достаточно просто изменить разрешения на службу с помощью еще одной утилиты Sysinternals — Process Explorer. Запустите Process Explorer с правами администратора и найдите в списке процессов процесс нужной вам службы. В нашем примере это spoolsv.exe (диспетчер очереди печати — C:WindowsSystem32spoolsv.exe). Откройте свойства процесса и перейдите на вкладку Services.

Нажмите на кнопку Permissions и в открывшемся окне добавьте пользователя или группу, которой нужно предоставить права на сервис и уровень полномочий.

Шаблон безопасности (Security Template)

Более наглядный (но и требующий большего количества действий) графический способ управления правами на службы – с помощью шаблонов безопасности. Для реализации, откройте консоль mmc.exe и добавьте оснастку Security Templates.

Создадим новый шаблон (New Template).

Задайте имя нового шаблона и перейдите в раздел System Services. В списке служб выберите свою службу Print Spooler и откройте ее свойства.

Установите тип запуска (Automatic) и нажмите кнопку Edit Security.

С помощью кнопки Add добавьте учетную запись пользователя или группы, которым нужно предоставить права. В нашем случае, нам достаточно права Start, Stop and pause.

Сохраните шаблон (Save).

Если открыть этот файл, можно увидеть, что данные о правах доступа сохраняются в уже ранее упомянутом SDDL формате. Полученная таким образом строка может быть использована в качестве аргументы команды sc.exe.

Осталось с помощью оснастки Security Configuration and Analysis создать новую базу данных (Open Database) и импортировать наш шаблон безопасности из файла Spooler User Rights.inf.

Применим шаблон, вызвав из контекстного меню команду Configure Computer Now.

Теперь можно под пользователем проверить, что у него появились права на управление службой Print Spooler.

Управление правами служб через групповые политики

Если нужно раздать пользователям права запуска/остановки сервиса сразу на множестве северов или компьютерах домена, проще всего воспользоваться возможностями групповых политик (GPO).

1. Создайте новую или отредактируйте существующую GPO, назначьте ее на нужный контейнер с компьютерами в Active Directory. Перейдите в раздел политик Computer configuration -> Windows Settings -> Security Settings -> System Services.
2. Найдите службу Spooler и аналогично ранее рассмотренной методике предоставьте права пользователю. Сохраните изменения.

Назначаем разрешения на службу с помощью PowerShell

В галерее TechNet имеется отдельный неофициальный модуль PowerShell для управления разрешениями на разные объекты Windows — PowerShellAccessControl Module (скачать его можно здесь). Этот модуль позволяет он управлять правами на службы. Импортируйте модуль в свою сессию:

Получить эффективные разрешения на конкретную службу из PowerShell можно так:

Get-Service spooler | Get-EffectiveAccess -Principal corp user

Чтобы предоставить обычному пользователю права на запуск и остановку службы, выполните:

Get-Service spooler | Add-AccessControlEntry -ServiceAccessRights Start,Stop -Principal corp user

Итак, мы разобрали несколько способов управления правами на службы Windows, позволяющих предоставить произвольному пользователю любые права на службы системы. В том случае, если пользователю требуется удаленный доступ к службе, без предоставления ему прав локального входа в систему, нужно разрешить пользователю удаленно опрашивать Service Control Manager.

По умолчанию большинство сервисов запускаются автоматически при открытии сеанса Windows с полномочиями системы или учетной записи пользователя, открывшего сеанс, но вы можете перенастроить этот режим таким образом, что служба будет запускаться при загрузке системы от имени учетной записи другого пользователя. Для этого:

1. Откройте консоль Службы (Services).

2. Выделите требуемую службу в Панели сведений и щелкните на ее заголовке правой кнопкой мыши.

3. В контекстном меню выберите пункт Свойства (Properties).

4. В открывшемся диалоговом окне перейдите ко вкладке Вход в систему (Log on, Рис. 3).

Рис. 3. Настройка полномочий сервиса при входе в систему

5. Если вы хотите, чтобы при загрузке Windows служба запускалась с полномочиями операционной системы, установите переключатель Вход в систему (Log on) в положение С системной учетной записью (Local system account). Чтобы запускать сервис от имени другого пользователя, установите переключатель в позицию С учетной записью (This account), и введите название учетной записи в расположенном рядом поле, а в размещающихся ниже полях Пароль (Password) и Подтверждение (Confirm password) дважды наберите присвоенный данному профилю пароль. Для выбора профиля можно воспользоваться кнопкой Обзор (Browse).

6. Чтобы разрешить или запретить автоматический запуск службы для различных учетных записей, выберите соответствующий профиль в расположенном в нижней части окна списке и нажмите кнопку Разрешить (Enable) или Запретить (Disable).

7. Если установлен флажок Разрешить взаимодействие с Рабочим столом (Allow service to interact with desktop), служба автоматически подключит интерфейс, с которым сможет взаимодействовать любой пользователь, вошедший в систему после запуска службы.

8. Щелкните мышью на кнопке ОК чтобы внесенные вами изменения вступили в силу.

Примечание. Далеко не все сервисы поддерживают возможность настройки запуска от имени другой учетной записи.

Дата добавления: 2015-09-18 ; просмотров: 1087 ; ЗАКАЗАТЬ НАПИСАНИЕ РАБОТЫ

Включение службы "Запуск от имени" или "Вторичный вход в систему" на компьютере под управлением Windows XP, Windows Vista, Windows 7.

Служба, необходимая для запуска команды Запуск от имени, по умолчанию загружается автоматически при установке Windows.Однако эту службу может отключить администратор или дурной банк-клиент. Если служба была отключена, то для ее включения выполните следующие действия.

Войдите в систему с помощью учетной записи администратора или пользователя с правами администратора.

Щелкните правой кнопкой мыши значок Мой компьютер и выберите пункт Управление.

В оснастке «Управление компьютером» разверните узел Службы и приложения и выберите элемент Службы.

На панели сведений щелкните правой кнопкой мыши службу Вторичный вход в систему и выберите команду Свойства.

В диалоговом окне Свойства установите Тип запуска в Авто и нажмите кнопку Пуск.

После запуска службы нажмите OK, чтобы закрыть диалоговое окно Свойства, а затем закройте оснастку «Управление компьютером».

Установить галочку взаимодействие с рабочим.

Необходимая для работы команды Запуск от имени служба активирована на компьютере. При попытке запустить программу, например консоль MMC или элемент панели управления, из сетевой папки с помощью команды Запуск от имени она может не запуститься, если учетные данные, используемые для подключения к общему сетевому ресурсу, отличаются от учетных данных, используемых для запуска программы. Учетные данные, используемые для запуска приложения, могут не обеспечивать доступ к сетевому ресурсу. Службы «Запуск от имени» и «Вторичный вход в систему» принимают только проверку подлинности пароля. Если политики требуют входа с помощью смарт-карты, то команда Запуск от имени работать не будет. Команда Запуск от имени не может использоваться с учетной записью LocalSystem в Windows XP с пакетом обновления 2 (SP2). Следует учесть, что при инсталляции некоторых банк-клиентов служба "Запуск от имени" не работает из-за того, что отключается "Контроль учетных записей" (UAC). Необходимо включить "Контроль учетных записей" (UAC) и перезагрузить компьютер.

Настройка типа запуска службы

Службы часто запускаются с параметрами по умолчанию. Например, при запуске служба может автоматически отключаться. Оснастку «Службы» можно использовать для изменения параметров службы по умолчанию. Это полезно при устранении неполадок в работе службы, или если необходимо изменить учетную запись безопасности, с которой работает служба.

Необходимое требование для выполнения этой процедуры – это членство в группе Операторы учета или в группах Администраторы домена, Администраторы предприятия. Подробности см. далее, в разделе «Прочие вопросы».

Настройка типа запуска службы

Нажмите кнопку Пуск, щелкните в поле Начать поиск, введите services.msc и нажмите клавишу ВВОД.

Дополнительно, экспортируйте и сохраните список существующих параметров. Для этого щелкните правой кнопкой мыши узел Службы, выберите команду Экспортировать список и сохраните список параметров.

В области сведений дважды щелкните службу, которую требуется настроить, и щелкните Свойства.

На вкладке Общие в разделе Тип запуска выберите Автоматический режим, Вручную, Отключено или Автоматически (отложенный запуск).

Чтобы указать учетную запись пользователя, используемую службой при входе в систему, щелкните вкладку Вход в систему и выполните следующее:

Чтобы указать, что служба должна использовать учетную запись «Локальная система», щелкните С системной учетной записью.

Введите пароль учетной записи в полях Пароль и Подтверждение, затем щелкните ОК. Если выбрана учетная запись «Локальная служба» или «Сетевая служба», не вводите пароль.

Чтобы настроить тип запуска службы с помощью командной строки

• Службами также можно управлять с помощью команды sc config. Для получения дополнительных сведений о доступных параметрах откройте окно командной строки и введите sc config /?. Подробное описание параметров командной строки и примеры см. в справочнике по командной строке на странице
• https://go.microsoft.com/fwlink/?linkid=53528 .

Дополнительная информация

• Для выполнения этой процедуры необходимо быть членом группы «Операторы учета», «Администраторы домена» или «Администраторы предприятия» либо получить соответствующие полномочия путем делегирования. При этом по соображениям безопасности рекомендуется использовать команду Run as.

Как запустить приложение в виде службы Windows

Можно ли запустить клиентское приложение в качестве службы? В одной из статей я описывал способы создания службы Windows штатными средствами ОС. Однако не каждое консольное приложение сможет запуститься как служба, а программы с графическим интерфейсом в принципе не умеют работать подобным образом. Но возможность запустить приложение как службу все же есть, и поможет нам в этом программа с оригинальным названием Non-Sucking Service Manager.

NSSM представляет из себя свободное программное обеспечение с открытым кодом и поддерживает все операционные системы Microsoft, начиная с Windows 2000 и заканчивая Windows 8. NSSM не требует установки, достаточно его загрузить и распаковать. В дистрибутив входят версии для 32- и 64-разрядных ОС. Взять программу можно с сайта nssm.cc, на данный момент последняя стабильная версия 2.21.1, которую я и буду использовать.

Для демонстрации возможностей NSSM попробуем запустить Блокнот Windows в качестве службы на Windows 8.1.

Создание службы

Для создания службы с именем notepad запускаем командную консоль, переходим в папку с распакованным NSSM (для 64-разрядной Windows) и вводим команду nssm install notepad , которая открывает окно графического инсталлятора NSSM. Чтобы создать службу, достаточно в поле Path указать путь к исполняемому файлу и нажать кнопку «Install service». Дополнительно в поле Options можно указать ключи, необходимые для запуска службы.

Также на этапе создания новой службы можно указать некоторые дополнительные параметры.

На вкладке «Shutdown» перечислены методы остановки и таймауты, используемые при штатном завершении работы или аварийной остановке приложения. Когда NSSM получает команду остановки (напр. при завершении работы приложения), то он пытается остановить контролируемое приложение штатным образом. Если же приложение не отвечает, то NSSM может принудительно завершить все процессы и подпроцессы этого приложения.

Всего есть четыре этапа завершения работы приложения, и по умолчанию они будет использоваться в таком порядке:

• На первом этапе NSSM пытается сгенерировать и отправить событие Ctrl+C. Этот способ хорошо работает для консольных приложений или скриптов, но не применим для графических приложений;
• Затем NSSM определяет все окна, созданные приложением, и посылает им сообщение WM_CLOSE, инициирующее выход из приложения;
• Третьим этапом NSSM вычисляет все потоки, созданные приложением, и отправляет им сообщение WM_QUIT, которое будет получено если приложение имеет очередь сообщений потока;
• И в качестве последнего средства NSSM может вызвать метод TerminateProcess(), принудительно завершив работу приложения.

Возможно отключить некоторые или даже все методы, однако для разных приложений срабатывают разные методы и для корректного завершения работы приложения рекомендуется оставить все как есть.

По умолчанию при падении службы NSSM пытается рестартовать ее. На вкладке «Exit actions» можно изменить автоматическое действие при нештатном завершении работы приложения, а также выставить задержку перед автоматическим перезапуском приложения.

На вкладке «Input/Output (I/O)» можно задать перенаправление ввода\вывода приложения в указанный файл.

На вкладке «Environment» можно задать для службы новые переменные окружения, или переопределить существующие.

Также можно не пользоваться графической оболочкой и сразу создать службу в консоли такой командой:

nssm install notepad ″C:\Windows\system32\notepad.exe″

Управление службой

После создания службы с помощью NSSM зайдем в оснастку Services и найдем службу notepad. Как видите, с виду она ничем не отличается от остальных служб, мы также можем ее запустить, остановить или изменить режим запуска. Однако обратите внимание, что в качестве исполняемого файла указан nssm.exe.

А если зайти в Task Manager, то мы увидим следующую картину: в качестве основного (родительского) процесса запущен NSSM, служба notepad запущена как его дочерний процесс, и уже в этом дочернем процессе запущено приложение Блокнот.

Удаление службы

Для удаления службы вводим команду nssm remove notepad и подтверждаем ее удаление. А введя команду nssm remove notepad confirm , можно обойтись и без подтверждения.

Запуск службы в интерактивном режиме

Основное отличие пользовательского приложения от службы заключается в том, что после запуска приложение может требовать для продолжения работы дополнительных действий со стороны пользователя — например нажать кнопку или ввести команду. Для этого необходимо получить к нему доступ, что как оказывается, не так-то просто сделать.

Для того, чтобы запустить службу в интерактивном режиме, надо в оснастке Службы открыть ее свойства и на вкладке «Вход в систему» отметить чекбокс «Разрешить взаимодействие с рабочим столом».

А дальше начинаются чудеса �� Cлужба, запущенная в интерактивном режиме, открывается в изолированном сеансе (session 0). Попасть в этот сеанс можно только при помощи Службы обнаружения интерактивных служб (ui0detect), которая отслеживает запуск интерактивных служб на компьютере и выдает оповещение. В Windows 7\Server 2008 эта служба активна по умолчанию, а в Windows 8\Server 2012 она отключена и не отображается в графической оснастке Службы (по крайней мере я ее там не нашел). Более того, если вы все же найдете эту таинственную службу и попробуете ее запустить, то получите сообщение об ошибке.

А дело в том, что для ее запуска необходимо разрешить запуск интерактивных служб на компьютере. Поэтому открываем редактор реестра, находим в разделе HKLM\System\CurrentControlSet\Control\Windows параметр типа DWORD с именем NoInteractiveServices и ставим его значение в 0.

После чего открываем консоль PowerShell и стартуем службу обнаружения командой:

Start-Service -Name ui0detect

Убедившись что служба обнаружения запущена, рестартуем службу notepad, и получаем вот такое окошко. Выбираем пункт «Посмотреть сообщение»

и попадаем в нулевой сеанс, в котором работает наше приложение. Дальше производим с ним необходимые действия и возвращаемся обратно.

Такое вот интересное решение для запуска приложений в виде служб Windows. Не самое красивое, но вполне соответствующее своему названию ��