Erhöhte Berechtigungen zum verwalten von Diensten

Es gibt Windows-Dienste die kann man weder starten noch stoppen oder deaktivieren, wie z.B. den Dienst Gruppenrichtlinienclient “gpsvc”. Alle Optionen sind ausgegraut.

Um Dienste dieser Art zu verwalten benötigt man Systemrechte. Mithilfe von psexec.exe von Sysinternals ist das machbar. Dazu startet man die psexec.exe aus einer administrativen CMD und übergibt den Parameter -s -i cmd.exe.

Der komplette Befehl psexec.exe -s -i cmd.exe öffnet also eine Kommandozeile mit Rechten von SYSTEM.

Manage Windows Services as SYSTEM

# Dienste als SYSTEM verwalten
psexec.exe -s -i cmd.exe
net stop gpsvc
net start gpsvc

# Dienst mit sc config verwalten
sc config “AdobeARMservice” start= DISABLED
sc config “AdobeARMservice” start= AUTO
sc stop “AdobeARMservice”
sc start “AdobeARMservice”

sc config “AdobeARMservice” START= BOOT
sc config “AdobeARMservice” START= SYSTEM
sc config “AdobeARMservice” START= AUTO
sc config “AdobeARMservice” START= DEMAND
sc config “AdobeARMservice” START= DISABLED
sc config “AdobeARMservice START= DELAYED-AUTO

# Dienst Abhängikeiten entfernen
sc config AdobeARMservice depend= /

# Dienst Abhängikeiten setzen
sc config AdobeARMservice depend= RPCSS

# Dienst Status ändern
Get-Service -Name AdobeARMservice | Set-Service -StartupType BOOT
Get-Service -Name AdobeARMservice | Set-Service -StartupType SYSTEM
Get-Service -Name AdobeARMservice | Set-Service -StartupType AUTO
Get-Service -Name AdobeARMservice | Set-Service -StartupType DEMAND
Get-Service -Name AdobeARMservice | Set-Service -StartupType DISABLED
Get-Service -Name AdobeARMservice | Set-Service -StartupType AutomaticDelayedStart

# Dienst Status ändern
Get-Service -Name AdobeARMservice | Set-Service -Status Running -PassThru
Get-Service -Name AdobeARMservice | Set-Service -Status Stopped -PassThru
Get-Service -Name AdobeARMservice | Set-Service -Status Paused -PassThru

# Dienst Status abfragen
Get-Service AdobeARMservice | Select-Object -Property Name, StartType, Status

# Registry Start Type
0=BOOT
1=SYSTEM
2=AUTO
2=DELAYED-AUTO
3=DEMAND
4=DISABLED

https://www.der-windows-papst.de/2017/04/17/server-2016-privileged-access-management-berechtigung-auf-zeit/