Usługa zablokowana przez politykę zabezpieczeń

Usługa zablokowana przez politykę zabezpieczeń wskazuje na zasadę lokalną lub domenową ograniczającą jej uruchamianie.

Co oznacza blokada usługi przez politykę zabezpieczeń

Komunikat „Usługa zablokowana przez politykę zabezpieczeń” oznacza, że system Windows zastosował regułę ograniczającą możliwość uruchomienia określonej usługi. Nie musi to oznaczać uszkodzenia plików usługi ani awarii samego programu. Przyczyną może być ustawienie lokalnej polityki zabezpieczeń, zasada skonfigurowana w Edytorze lokalnych zasad grupy albo reguła otrzymana z domeny Active Directory. W takim przypadku żądanie uruchomienia jest odrzucane przez mechanizmy kontroli systemu, zanim usługa zacznie wykonywać swoją właściwą funkcję.

Usługi systemu Windows są zarządzane przez Service Control Manager, czyli Menedżera kontroli usług. Każda usługa ma między innymi nazwę systemową, typ uruchamiania, konto używane do pracy oraz zależności od innych usług. Polityka może zabronić uruchamiania usługi, zmienić dostęp do jej konfiguracji albo ograniczyć uprawnienia konta, z którego usługa próbuje wystartować. W środowisku domowym reguła może pochodzić z wcześniejszej konfiguracji, programu ochronnego lub nieprawidłowo zastosowanego ustawienia. Na komputerze firmowym źródłem może być centralna polityka organizacji.

Rozróżnienie polityki, uprawnień i awarii usługi

Podobny komunikat może wystąpić w kilku różnych sytuacjach, dlatego sama treść ostrzeżenia nie wskazuje jeszcze jednej przyczyny. Usługa może być ustawiona jako wyłączona w konsoli Usługi, może nie mieć prawa do zalogowania się jako określone konto albo może być blokowana przez zasadę zabezpieczeń. Osobną kategorię stanowi awaria zależności, na przykład zatrzymanie usługi systemowej wymaganej do uruchomienia aplikacji. W tym przypadku w Podglądzie zdarzeń często pojawia się informacja o nieudanym starcie, przekroczeniu czasu oczekiwania lub braku wymaganej usługi.

Do wstępnego rozdzielenia tych przypadków można sprawdzić nazwę usługi w konsoli services.msc oraz jej właściwości: stan, typ uruchamiania, konto logowania i zależności. Przydatne są również dzienniki System i Application w Podglądzie zdarzeń, a w systemach korzystających z zasad grupy także dziennik Microsoft-Windows-GroupPolicy/Operational. W wierszu polecenia można odczytać konfigurację usługi poleceniem sc.exe query oraz sc.exe qc, podając jej nazwę systemową. Wynik należy interpretować ostrożnie: informacja o stanie „STOPPED” nie dowodzi jeszcze blokady polityką, ponieważ usługa może być uruchamiana tylko na żądanie.

Sprawdzanie źródła zastosowanej reguły

Na komputerze niezarządzanym centralnie można przejrzeć ustawienia w secpol.msc, jeżeli dana edycja systemu Windows udostępnia Lokalną politykę zabezpieczeń, oraz w gpedit.msc, jeżeli dostępny jest Edytor lokalnych zasad grupy. Warto sprawdzić zasady dotyczące praw użytkownika, uruchamiania usług, ograniczeń aplikacji oraz ustawień zabezpieczeń systemu. Zmiana przypadkowych wpisów bez zapisania stanu początkowego może doprowadzić do kolejnych problemów z logowaniem, aktualizacjami lub działaniem programów.

Raport zastosowanych zasad można wygenerować poleceniem gpresult /h raport.html. Raport pokazuje, które ustawienia pochodzą z zasad lokalnych, a które zostały narzucone przez obiekt zasad grupy. W środowisku domenowym lokalna korekta może zostać później nadpisana podczas odświeżania polityki. Z tego powodu trzeba ustalić, czy komputer jest połączony z domeną, czy korzysta z zarządzania organizacyjnego oraz czy blokada dotyczy jednej usługi, czy większej liczby komponentów. W systemach z oprogramowaniem zabezpieczającym należy dodatkowo sprawdzić jego historię zdarzeń pod kątem kwarantanny, blokady procesu lub ograniczenia modyfikacji usług.

Bezpieczne przywracanie działania usługi

Naprawę należy rozpocząć od ustalenia dokładnej nazwy usługi i zapisania komunikatu błędu, kodu zdarzenia oraz czasu wystąpienia. Następnie można porównać konfigurację z działającym komputerem o tej samej wersji Windows i podobnym zestawie programów, bez kopiowania bezpośrednio całych gałęzi rejestru. Jeżeli przyczyną jest lokalna polityka, właściwym działaniem jest cofnięcie konkretnej, rozpoznanej reguły, a nie wyłączenie wszystkich zabezpieczeń. Po zmianie zasad może być wymagane odświeżenie polityki lub ponowne uruchomienie systemu.

Jeżeli usługa nadal nie startuje, trzeba sprawdzić jej pliki, zależności, konto logowania i uprawnienia do katalogów oraz kluczy rejestru. Narzędzia systemowe, takie jak sfc /scannow i DISM, mogą pomóc w weryfikacji składników Windows, ale nie usuwają świadomie skonfigurowanej polityki. Nie należy usuwać zabezpieczeń, zmieniać właściciela systemowych plików ani uruchamiać usługi na koncie o szerszych uprawnieniach bez potwierdzenia przyczyny. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z uruchamianiem usług oraz konfiguracją systemu Windows.