.Net 2.0 服务控制器.GetServices()

Question

我有一个启用了 Windows 身份验证的网站。从网站的一个页面，用户可以启动一个服务来处理数据库的一些事情。

启动服务对我来说很好，因为我是服务器上的本地管理员。但我只是让一个用户测试它，他们无法启动服务。

我的问题是：

---

有没有人知道一种方法可以使用不同于他们当前登录的 Windows 帐户按名称获取指定计算机上的服务列表？

---

我真的不想将所有需要启动服务的用户添加到一个 windows 组中，并将它们全部设置为我的 IIS 服务器上的本地管理员.....

这是我得到的一些代码：

public static ServiceControllerStatus FindService()
        {
            ServiceControllerStatus status = ServiceControllerStatus.Stopped;

            try
            {
                string machineName = ConfigurationManager.AppSettings["ServiceMachineName"];
                ServiceController[] services = ServiceController.GetServices(machineName);
                string serviceName = ConfigurationManager.AppSettings["ServiceName"].ToLower();

                foreach (ServiceController service in services)
                {
                    if (service.ServiceName.ToLower() == serviceName)
                    {
                        status = service.Status;
                        break;
                    }
                }
            }
            catch(Exception ex)
            {
                status = ServiceControllerStatus.Stopped;
                SaveError(ex, "Utilities - FindService()");
            }

            return status;
        }

我的异常来自 try 块中的第二行。这是错误：

System.InvalidOperationException： 无法打开服务控制管理器 计算机'server.domain.com'。这 操作可能需要其他 特权。 ---> System.ComponentModel.Win32Exception： 访问被拒绝---内部结束 异常堆栈跟踪 --- 在 System.ServiceProcess.ServiceController.GetDataBaseHandleWithAccess（字符串 机器名称，Int32 serviceControlManaqerAccess) 在 System.ServiceProcess.ServiceController.GetServicesOfType（字符串 machineName, Int32 serviceType) 在 TelemarketingWebSite.Utilities.StartService()

感谢您的帮助/信息

Answer 1

注意：这并没有解决将服务枚举为不同用户的问题，但考虑到您正在做的更广泛的描述，我认为这是一个很好的答案。

如果您直接访问感兴趣的服务，我认为您可以简化很多，并可能避免部分安全问题。不要调用 GetServices，试试这个：

string machineName = ConfigurationManager.AppSettings["ServiceMachineName"];
string serviceName = ConfigurationManager.AppSettings["ServiceName"];
ServiceController service = new ServiceController( serviceName, machineName );
return service.Status;

这直接连接到感兴趣的服务并绕过枚举/搜索步骤。因此，它不需要调用者在服务控制管理器 (SCM) 上拥有SC_MANAGER_ENUMERATE_SERVICE 权限，而远程用户默认没有这些权限。它仍然需要SC_MANAGER_CONNECT，但应该将according to MSDN 授予远程经过身份验证的用户。

找到感兴趣的服务后，您仍然需要能够停止和启动它，而您的远程用户可能无权执行此操作。但是，可以修改单个服务的安全描述符 (DACL)，这样您就可以授予远程用户停止和启动服务的权限，而无需他们是本地管理员。这是通过SetNamedSecurityInfo API 函数完成的。您需要授予的访问权限是SERVICE_START 和SERVICE_STOP。根据这些用户所属的确切组，您可能还需要授予他们GENERIC_READ。所有这些权利都是described in MSDN。

这里有一些执行此设置的 C++ 代码，假设感兴趣的用户位于“远程服务控制器”组（您将创建该组）中并且服务名称为“my-service-name”。请注意，如果您想授予用户（不一定是好主意）等知名组的访问权限，而不是您创建的组，则需要将 TRUSTEE_IS_GROUP 更改为 TRUSTEE_IS_WELL_KNOWN_GROUP。

代码没有您想要添加的错误检查。所有三个可能失败的函数（Get/SetNamedSecurityInfo 和 SetEntriesInAcl）都返回 0 表示成功。

另一个注意事项：您还可以使用the SC tool 设置服务的安全描述符，可以在 %WINDIR%\System32 下找到，但这不涉及任何编程。

#include "windows.h"
#include "accctrl.h"
#include "aclapi.h"

int main()
{
    char serviceName[] = "my-service-name";
    char userGroup[] = "Remote Service Controllers";

    // retrieve the security info
    PACL pDacl = NULL;
    PSECURITY_DESCRIPTOR pDescriptor = NULL;
    GetNamedSecurityInfo( serviceName, SE_SERVICE,
        DACL_SECURITY_INFORMATION, NULL, NULL,
        &pDacl, NULL, &pDescriptor );

    // add an entry to allow the users to start and stop the service
    EXPLICIT_ACCESS access;
    ZeroMemory( &access, sizeof(access) );
    access.grfAccessMode = GRANT_ACCESS;
    access.grfAccessPermissions = SERVICE_START | SERVICE_STOP;
    access.Trustee.TrusteeForm = TRUSTEE_IS_NAME;
    access.Trustee.TrusteeType = TRUSTEE_IS_GROUP;
    access.Trustee.ptstrName = userGroup;
    PACL pNewDacl;
    SetEntriesInAcl( 1, &access, pDacl, &pNewDacl );

    // write the changes back to the service
    SetNamedSecurityInfo( serviceName, SE_SERVICE,
        DACL_SECURITY_INFORMATION, NULL, NULL,
        pNewDacl, NULL );

    LocalFree( pNewDacl );
    LocalFree( pDescriptor );
}

这也可以在 C# 中使用 P/Invoke 来完成，但这需要更多的工作。

如果您仍然特别希望能够将服务枚举为这些用户，则需要在 SCM 上授予他们SC_MANAGER_ENUMERATE_SERVICE 权限。不幸的是，according to MSDN，SCM 的安全性只能在 Windows Server 2003 sp1 或更高版本上修改。

Answer 2

感谢查理的那行代码。这就是我最终做的事情。我从这个网站得到了这个想法：http://www.codeproject.com/KB/cs/svcmgr.aspx?display=Print

我还必须将我正在访问的帐户添加到服务器上的 Power Users 组。

public static ServiceControllerStatus FindService()
        {
            ServiceControllerStatus status = ServiceControllerStatus.Stopped;
    try
            {
                string machineName = ConfigurationManager.AppSettings["ServiceMachineName"];
                string serviceName = ConfigurationManager.AppSettings["ServiceName"].ToLower();

                ImpersonationUtil.Impersonate();

                ServiceController service = new ServiceController(serviceName, machineName);
                status = service.Status;
            }
            catch(Exception ex)
            {
                status = ServiceControllerStatus.Stopped;
                SaveError(ex, "Utilities - FindService()");
            }

            return status;
        }

这是我使用 ImpersonationUtil.Impersonate() 的另一个类：

public static class ImpersonationUtil
    {
        public static bool Impersonate()
        {
            string logon = ConfigurationManager.AppSettings["ImpersonationUserName"];
            string password = ConfigurationManager.AppSettings["ImpersonationPassword"];
            string domain = ConfigurationManager.AppSettings["ImpersonationDomain"];

            IntPtr token = IntPtr.Zero;
            IntPtr tokenDuplicate = IntPtr.Zero;
            WindowsImpersonationContext impersonationContext = null;

            if (LogonUser(logon, domain, password, 2, 0, ref token) != 0)
                if (DuplicateToken(token, 2, ref tokenDuplicate) != 0)
                    impersonationContext = new WindowsIdentity(tokenDuplicate).Impersonate();
            //

            return (impersonationContext != null);
        }

        [DllImport("advapi32.dll", CharSet = CharSet.Auto)]
        public static extern int LogonUser(string lpszUserName, string lpszDomain, string lpszPassword, int dwLogonType, int dwLogonProvider, ref IntPtr phToken);

        [DllImport("advapi32.dll", CharSet = System.Runtime.InteropServices.CharSet.Auto, SetLastError = true)]
        public extern static int DuplicateToken(IntPtr hToken, int impersonationLevel, ref IntPtr hNewToken);
    }

Answer 3

您可以尝试在您的 web.config 文件中使用 ASP.NET 模拟并指定具有适当权限的用户帐户：

    <system.web>
       <identity impersonate="true" userName="Username" password="Password" />
    </system.web

看看this article on MSDN。我相信还有其他选项不需要将密码存储在 web.config 文件中，例如将其放在注册表项中。

这将导致 ASP.NET 工作进程在指定用户而不是登录到 Web 应用程序的用户的上下文中运行。 但是，这会带来安全问题，我强烈建议您重新考虑您的设计。您可能需要考虑让 ASP.NET 网页依次向其他实际控制服务的进程（甚至是另一个 Windows 服务）发出请求，或者将请求写入 Windows 服务定期轮询的数据库表。