Brak uprawnień do uruchomienia usługi

Brak uprawnień do uruchomienia usługi wskazuje na konto usługi bez prawa „Logon as a service” w lokalnych zasadach zabezpieczeń — trzeba je nadać w Zasadach grupy lub secpol.msc.

Na czym polega brak uprawnień do uruchomienia usługi

Komunikat „Brak uprawnień do uruchomienia usługi” oznacza, że system Windows nie pozwala danemu procesowi rozpocząć pracy w kontekście określonego konta. Usługa może być widoczna na liście składników systemowych, mieć ustawiony tryb uruchamiania automatyczny lub ręczny, a mimo to nie wystartować, ponieważ konto przypisane do jej działania nie ma wymaganych praw. Nie musi to oznaczać uszkodzenia samej usługi. Przyczyną bywa ograniczenie zapisane w lokalnych zasadach zabezpieczeń, zasadach grupy, konfiguracji domenowej albo ustawieniach kontroli dostępu.

W praktyce szczególne znaczenie ma prawo określane jako „Logowanie jako usługa”. Pozwala ono wskazanemu kontu uruchamiać program w tle bez typowego logowania użytkownika do pulpitu. Jeżeli konto zostało usunięte, zmienione, zablokowane lub pozbawione tego prawa, system może zatrzymać usługę podczas startu i zapisać zdarzenie w dzienniku. Podobny efekt występuje wtedy, gdy ustawiono nieprawidłowe hasło konta, wygasła jego ważność albo lokalna polityka bezpieczeństwa nadpisuje wcześniejszą konfigurację.

Warto odróżnić uprawnienie do uruchomienia usługi od uprawnień do plików, folderów, rejestru i zasobów sieciowych. Konto może mieć możliwość rozpoczęcia procesu, lecz później nie uzyskać dostępu do katalogu roboczego lub klucza rejestru. Zdarza się również sytuacja odwrotna: konto ma dostęp do potrzebnych danych, ale nie może zostać użyte do uruchomienia usługi. Dlatego sam wybór konta w oknie właściwości usługi nie zawsze rozwiązuje problem.

Kontekst techniczny i porównanie podobnych sytuacji - Brak uprawnień do uruchomienia usługi

Usługa systemowa działa inaczej niż zwykła aplikacja uruchamiana dwukrotnym kliknięciem. Jej start jest obsługiwany przez Menedżera kontroli usług, który sprawdza typ uruchamiania, zależności, konto oraz wymagane prawa. Program uruchomiony przez użytkownika dziedziczy jego sesję i część uprawnień, natomiast usługa może działać przed zalogowaniem, w tle i z ograniczonym dostępem do interfejsu. Z tego powodu aplikacja może otwierać się poprawnie, podczas gdy odpowiadająca jej usługa zwraca odmowę.

Trzeba też rozróżnić brak uprawnień administracyjnych osoby wykonującej konfigurację od braku uprawnienia przypisanego kontu usługi. Administrator może mieć prawo do zmiany ustawień, ale konto używane przez samą usługę nadal może nie mieć możliwości zalogowania w charakterze usługi. Sprawdzenie powinno więc obejmować oba poziomy: kto wykonuje operację administracyjną oraz na jakim koncie ma działać proces.

Podstawowych informacji dostarczają narzędzia services.msc, Podgląd zdarzeń oraz konsola zasad zabezpieczeń secpol.msc, o ile jest dostępna w danej edycji systemu. W środowiskach zarządzanych centralnie ustawienia mogą pochodzić z Edytora lokalnych zasad grupy albo z polityk pobieranych z domeny. Zmiana lokalna może wtedy zostać później zastąpiona przez regułę nadrzędną. Warto również sprawdzić zależności usługi, ponieważ komunikat widoczny przy jednej pozycji może być skutkiem nieuruchomienia innego składnika.

Nie należy utożsamiać tego błędu z każdym komunikatem typu „Odmowa dostępu”. Odmowa może dotyczyć pliku wykonywalnego, katalogu, portu, sterownika, certyfikatu lub zasobu używanego dopiero po uruchomieniu procesu. Prawidłowa diagnoza wymaga ustalenia momentu wystąpienia problemu: podczas startu systemu, przy ręcznym uruchomieniu usługi, po zmianie konta, po aktualizacji albo dopiero przy wykonywaniu konkretnego zadania.

Typowe problemy i błędy konfiguracyjne - Brak uprawnień do uruchomienia usługi

Jedną z częstszych przyczyn jest przypisanie usługi do konta lokalnego lub domenowego, którego hasło zostało zmienione poza ustawieniami usługi. W takiej sytuacji system próbuje użyć nieaktualnych danych uwierzytelniających. Problem może również wynikać z wygaśnięcia hasła, blokady konta, braku prawa do logowania w tle lub zastosowania zasady zabraniającej danemu kontu korzystania z tej formy uruchamiania.

Usterka pojawia się także po przywróceniu obrazu systemu, migracji komputera, zmianie nazwy urządzenia albo odtworzeniu konfiguracji z kopii. Wtedy identyfikatory zabezpieczeń, członkostwo w grupach i wpisy w uprawnieniach mogą nie odpowiadać bieżącemu środowisku. Podobny skutek może dać ręczne usunięcie konta technicznego, zmiana typu uruchamiania na niezgodny z zależnościami lub ograniczenie dostępu do katalogu, w którym znajduje się plik usługi.

Błędem jest przyznawanie szerokich praw wszystkim użytkownikom tylko po to, aby ominąć komunikat. Takie działanie może usunąć objaw, lecz zwiększa zakres dostępu do systemu i utrudnia późniejsze ustalenie rzeczywistej przyczyny. Bezpieczniej jest ustalić konkretne konto, sprawdzić wpisy w zakładce logowania usługi, zweryfikować wymagane zależności i nadać wyłącznie niezbędne uprawnienia. W razie potrzeby należy porównać ustawienia z innym komputerem o takiej samej roli, pamiętając o różnicach między edycjami i wersjami Windows.

Pomocne jest przeanalizowanie dzienników w Podglądzie zdarzeń, zwłaszcza wpisów dotyczących Menedżera kontroli usług, uwierzytelniania i zasad bezpieczeństwa. Należy zapisać nazwę usługi, kod błędu, konto używane do logowania oraz czas wystąpienia zdarzenia. Sama zmiana ustawienia na „Automatyczny” nie naprawi problemu, jeżeli konto nadal nie ma odpowiedniego prawa. Również ponowne uruchamianie komputera nie zastąpi sprawdzenia konfiguracji i przyczyn zapisanych w logach.

Kiedy trzeba poprosić o ocenę stanu sprzętu - Brak uprawnień do uruchomienia usługi

Zgłoszenie do serwisu jest uzasadnione wtedy, gdy usługa odpowiada za ważny składnik systemu, połączenie sieciowe, ochronę urządzenia, synchronizację danych lub działanie programu używanego na co dzień, a samodzielne zmiany nie przynoszą rezultatu. Szczególnej ostrożności wymaga sytuacja, w której po modyfikacji zasad bezpieczeństwa przestają działać również inne usługi albo system zaczyna odrzucać logowanie. W takim przypadku potrzebne może być porównanie konfiguracji, odtworzenie właściwych zasad i sprawdzenie, czy problem nie obejmuje większej liczby składników.

Przy przygotowaniu zgłoszenia warto przekazać nazwę usługi, pełną treść komunikatu, kod błędu, informację o ostatniej zmianie w systemie oraz dane z Podglądu zdarzeń. Ułatwia to odróżnienie problemu z prawem „Logowanie jako usługa” od błędnego hasła, uszkodzonego pliku, zależności lub ograniczeń narzuconych przez politykę systemową. Nie powinno się publikować haseł ani przesyłać niepotrzebnych danych konta; do analizy wystarczą informacje o rodzaju konta i objawach.

W Warszawskim Pogotowiu Komputerowym 24/7 wykonywana jest darmowa diagnoza laptopa, dzięki której można najpierw ustalić, czy komunikat wynika z konfiguracji uprawnień, błędu systemu, czy problemu z konkretnym programem. Po rozpoznaniu przyczyny można uporządkować ustawienia usługi, zweryfikować dzienniki i przywrócić działanie bez przypadkowego rozszerzania praw w całym systemie.