Registry access denied – uprawnienia

Błąd dostępu do rejestru wymaga sprawdzenia uprawnień konta usługi do odpowiednich kluczy systemowych.

Co oznacza komunikat „Registry access denied”

Komunikat „Registry access denied” oznacza, że proces próbujący odczytać albo zmienić wartość w Rejestrze systemu Windows nie otrzymał wymaganego prawa dostępu. Rejestr jest hierarchiczną bazą konfiguracji systemu, sterowników i aplikacji. Jego klucze mają listy kontroli dostępu ACL, w których zapisuje się uprawnienia przypisane między innymi do kont użytkowników, grup oraz wbudowanych tożsamości systemowych. Samo zalogowanie do systemu nie oznacza automatycznie możliwości modyfikowania każdego klucza.

Przyczyną odmowy może być próba zapisu do chronionej gałęzi HKEY_LOCAL_MACHINE, brak podwyższonych uprawnień procesu, użycie niewłaściwego konta usługi albo dziedziczenie ograniczonych praw z nadrzędnego klucza. Znaczenie ma również to, czy program działa w kontekście użytkownika interaktywnego, konta LocalSystem, LocalService, NetworkService, konta domenowego lub dedykowanego konta lokalnego. Błąd może dotyczyć wyłącznie zapisu, ale czasami pojawia się już przy odczycie, gdy administrator lub usługa nie ma prawa odczytu konkretnej gałęzi.

Jak sprawdzić konto i zakres wymaganych praw

Diagnostykę należy rozpocząć od ustalenia, jaki proces zgłasza błąd i pod jaką tożsamością działa. W przypadku aplikacji uruchamianej ręcznie trzeba sprawdzić, czy została otwarta z użyciem opcji „Uruchom jako administrator”. Mechanizm Kontroli konta użytkownika UAC rozdziela zwykły token użytkownika od tokena podwyższonego, dlatego członkostwo w grupie Administratorzy nie zawsze wystarcza do wykonania operacji na chronionym kluczu. W przypadku usługi tożsamość można zweryfikować w konsoli Usługi systemu Windows, w zakładce dotyczącej logowania danej usługi. Należy także ustalić dokładną ścieżkę klucza, ponieważ prawa nadane do jednego miejsca, na przykład HKEY_CURRENT_USER, nie przenoszą się na HKEY_LOCAL_MACHINE.

Do odczytu konfiguracji można użyć narzędzia reg.exe, na przykład polecenia reg query z pełną ścieżką klucza. W PowerShellu uprawnienia można analizować przez provider Registry i polecenie Get-Acl, wskazując ścieżkę w formacie Microsoft.PowerShell.Core\Registry::. Wynik powinien być oceniany razem z nazwą konta, identyfikatorem SID oraz wpisami Allow i Deny. Jawna odmowa ma pierwszeństwo przed zezwoleniem. Trzeba również uwzględnić uprawnienia grup, członkostwo w grupach lokalnych oraz ewentualne zasady zabezpieczeń domenowych. Jeżeli problem występuje tylko w jednej aplikacji, warto porównać jej działanie z działaniem tego samego programu uruchomionego przez właściwe konto i w tym samym środowisku.

Bezpieczne przywracanie dostępu do klucza

Naprawa powinna polegać na nadaniu minimalnego prawa do konkretnego klucza, a nie na przejęciu całego Rejestru ani na przyznaniu wszystkim użytkownikom pełnej kontroli. Najpierw należy sprawdzić, czy aplikacja rzeczywiście powinna zapisywać w danej gałęzi. Ustawienia wspólne dla komputera zwykle znajdują się w HKEY_LOCAL_MACHINE, natomiast ustawienia pojedynczego użytkownika mogą być przechowywane w HKEY_CURRENT_USER. Przeniesienie zapisu do właściwej gałęzi użytkownika może usunąć problem bez zmiany zabezpieczeń systemowych, ale wymaga zgodności z dokumentacją konkretnego programu.

Przed modyfikacją ACL należy wykonać kopię odpowiedniego klucza z Edytora rejestru albo użyć eksportu reg.exe. Kopia powinna obejmować dokładną gałąź, a nie bezkrytycznie cały Rejestr. Następnie administrator może dodać do listy uprawnień wyłącznie konto, pod którym działa aplikacja lub usługa, przyznając tylko odczyt albo odczyt i zapis zgodnie z rzeczywistą potrzebą. Zmiany trzeba testować po ponownym uruchomieniu procesu, ponieważ usługa może zachować poprzedni token, a aplikacja może korzystać z innego klucza niż wskazany w komunikacie. Nie należy wyłączać UAC ani usuwać wpisów TrustedInstaller, SYSTEM lub Administratorzy jako ogólnej metody naprawy. Błędna zmiana zabezpieczeń może uniemożliwić aktualizacje, działanie sterowników albo start systemu.

Kroki diagnostyczne po stronie użytkownika

Jeżeli podstawowe sprawdzenie ACL nie wyjaśnia problemu, pomocne jest prześledzenie operacji wykonywanych przez proces. Narzędzie Process Monitor firmy Microsoft Sysinternals potrafi rejestrować zdarzenia dotyczące rejestru i filtrować je po nazwie procesu, ścieżce oraz wyniku operacji. Wynik ACCESS DENIED wskazuje konkretną próbę, która została odrzucona, ale nie przesądza jeszcze, że właśnie ten klucz powinien zostać zmieniony. Należy porównać ścieżkę z dokumentacją programu i sprawdzić, czy proces nie próbuje zapisywać w kluczu należącym do innej instalacji, starej wersji aplikacji lub nieistniejącego konta.

W środowisku domowym lub biurowym błąd może być skutkiem uszkodzonego profilu użytkownika, pozostałości po odinstalowanym programie, nieudanego uaktualnienia albo uruchamiania aplikacji bez wymaganej elevacji. Warto sprawdzić Dziennik zdarzeń systemu Windows, stan usługi, integralność plików systemowych oraz aktualność aplikacji. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką problemów z uprawnieniami systemu Windows oraz konfiguracją dostępu aplikacji do Rejestru.