Usern das starten/stoppen eines Dienstes erlauben

[lefg 276]

Hoi @ all :) Führe ich die o.g. .bat auf dem client aus, erfolgt die Meldung, das der Befehl "SC" nicht verstanden wurde. Also muß ich dem client die SC.exe mitgeben und genau hier wollen meine Verständnis-Synapsen nicht recht zueinanderfinden.

Ist SC denn auf dem Client vorhanden? Oder liegt SC auf dem Server in einem Share? (\\server\share\sc.exe \\server start service)

 

Off-Topic:

Kuddel war schneller. :) :D

[IThome 10]

Ist SC denn auf dem Client vorhanden? Oder liegt SC auf dem Server in einem Share? (\\server\share\sc.exe \\server start service)

 

Off-Topic:

Kuddel war schneller. :) :D

Off-Topic:

Moin Edgar, wird langsam Zeit, dass ich meine Signatur ändere :D

[ShadowByte 10]

Hoi IThome und Edgar ! :)

 

Mit eurem Beispiel hab ihr mir die Verständnis-Lücke geschlossen !

Ergo : ich hinterlege in der .bat den Pfad zur SC.exe und führe DANN mit eben dieser .exe den dahinter folgenden Befehl aus ... tja, ist eigentlich ganz logisch aber manchmal braucht man eben Einen mit dem Eifelturm übergezogen, wenn der Zaunpfahl nicht hilft :D

 

Ich danke euch ! :)

 

Gruß, ShadowByte.

[lefg 276]

Ich danke euch ! :)

Gern geschehen.

[ShadowByte 10]

... btw : wie setzt ihr bitte das "Off-Topic" in den threat ?

[IThome 10]

Klicke einfach bei einem der beiden Beiträgen auf Zitat, dann siehst Du es ...

[ShadowByte 10]

Ah ... danke ! :D

 

Gruß, ShadowByte.

[ShadowByte 10]

Hoi @ all again :)

 

Ich muß hier noch einmal in die Kerbe schlagen.

Ich schaffe es nach wie vor nicht, den entsprechenden usern das starten/stopen eines Dienstes via remote zu ermöglichen. Alles was mir bis hierhin an Hilfestellung geleistet wurde, ist verstanden und wurde so umgesetzt. Im einzelnen :

 

DC = W2k SP4 mixed-mode

Server Dienst-host : W2k3 SP2

betroffene clients : Win2k Pro SP4

 

GPO = DIENST - manuell - Sicherheit : Gruppe Controlling - starten/stoppen/Statusabfrage erlaubt

Die GPO ist mit der OU der "Mitgliedsserver" (in dieser befindet sich u.a. der Dienst-host-Server) verknüpft - Filter : SERVER (Dienst-host) und Gruppe Controlling

 

Ordner mit SC.exe befindet sich auf dem desktop der betroffenen clients. Ich habe ebenfalls drei .bat (starten/stoppen/Status) in dem Ordner angelegt.

 

sc \\SERVER start (bzw. stop/Status) DIENST
pause

 

Fehlermeldung : Code 5 - Zugriff verweigert

 

Habe ich etwas übersehen ? Ich weiß wirklich nicht mehr woran es liegen könnte

Wenn ich die o.g. .bat auf meiner WS ausführe, funktioniert es einwandfrei - allerdings ist mein Benutzerkonto auch Mitglied der Gruppe Administratoren.

 

Ich denke es ist Zeit für einen weiteren Eifelturm ... wer möchte zuschlagen ? :D

 

Gruß, ShadowByte.

[lefg 276]

Habe ich etwas übersehen ?

Hat der das Programm ausführende Benutzer denn die Berechtigung auf den Dienst?

[ShadowByte 10]

Hoi Lefg :)

 

Hat der das Programm ausführende Benutzer denn die Berechtigung auf den Dienst?

 

... ooops ! Was meinst Du genau damit ? Muß ich der Gruppe Controlling lokal, auf dem Server der den Dienst hosted, noch irgentwelche Berechtigungen geben ?

 

Gruß

[lefg 276]

Hast du schon in die ACL für den Dienst geschaut? Das sollte mit SC möglich sein.

[ShadowByte 10]

Ok, ich habe mir mit sc \\SERVER sdshow SERVICE die ACL´s für diesen Dienst berechtigten Objekte angeschaut. Sieht sehr kryptisch aus auf den ersten Blick :) . Mit sc sdset könnte ich nun die ACL der Gruppe Controlling hinzufügen und dann solle es funktionieren ? Ich dachte das hätte ich schon mit der GPO erledigt ? Wie kann ich die ACL der Gruppe einsehen ?

 

Gruß

[lefg 276]

Ich dachte das hätte ich schon mit der GPO erledigt ?

Wirkt die GPO denn auf den Server?

[ShadowByte 10]

Jupp, sie wird angewand.

[lefg 276]

Mit sc sdset könnte ich nun die ACL der Gruppe Controlling hinzufügen und dann solle es funktionieren ? Ich dachte das hätte ich schon mit der GPO erledigt ? Wie kann ich die ACL der Gruppe einsehen ?

Ich glaube, hier liegt ein Verständnisproblem vor. Nicht die Gruppe hat eine ACL, der Dienst hat es. In die ACL des Dienstes werden die Gruppen und Benutzer eingetragen.

Ich dachte das hätte ich schon mit der GPO erledigt ? Wie kann ich die ACL der Gruppe einsehen ?

Ich meine, falls mit SC die Gruppe in der ACL des Dienstes nicht gelistet wird, dann steht sie auch nicht drin und die GPO ist wirksam.

 

Wo, in welcher GPO wurde die ACL denn beeinflusst?

 

Nun, man sich den Dienst auch in der Registry raussuchen, dort die Berechtigungen auf die Schlüssel besehen.