使用“runas”命令、以管理员身份运行或以其他用户选项运行时，拒绝访问 - Windows Server

本文提供了一些解决方法，用于在升级 Windows Server 后无法使用 runas 命令、 “以管理员 身份运行”选项或 “以其他用户 身份运行”选项的问题。

原始 KB 数： 977513

现象

假设出现了下面这种情景：

• 升级运行 Windows Server 的计算机。
• 以标准用户身份登录。
• 尝试使用以下功能之一：
  • runas 命令
  • 以管理员 身份运行选项
  • 以其他用户 选项身份运行

在这种情况下，会收到以下错误消息：

拒绝访问

原因

升级 Windows Server 时，辅助登录服务的可自由访问控制列表（DACL）未正确设置。 此问题可防止标准用户启动此服务，并且无法以其他用户身份运行应用程序。

解决方法 1：使用Sc.exe命令提示符实用工具

升级服务器后，可以使用Sc.exe命令提示符实用工具将安全性设置为默认配置。

注意

在运行这些命令之前，应以管理员身份登录。

为此，请按照以下步骤操作：

1. 打开命令提示符窗口。

2. 在命令提示符下，键入以下命令，然后按 Enter：

   net stop seclogon
   

3. 在命令提示符下，键入以下命令，然后按 Enter：

   sc sdset seclogon D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPDTLOCRRC;;;IU)(A;;CCLCSWDTLOCRRC;;;SU)(A;;CCLCSWRPDTLOCRRC;;;AU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)
   

   注意

   此命令包装为可读性。

4. “关闭命令提示符”窗口。

5. 尝试使用以下功能之一：

   • runas 命令
   • 以管理员 身份运行选项
   • 以其他用户 选项身份运行

   此外，请确保可以切换用户，并正确启动辅助登录服务。

解决方法 2：使用组策略

可以使用组策略管理控制台来配置基于域的策略，该策略在升级服务器后将安全性设置为默认配置。 应为此解决方法创建新的组策略对象（GPO）。 它应该链接，以便新 GPO 仅应用于受影响的计算机。

为此，请按照以下步骤操作：

1. 在组策略管理控制台中编辑组策略。

2. 找到策略： 计算机配置\策略\Windows 设置\安全设置\系统服务。

3. 打开 辅助登录 服务。

4. 选中“定义此策略设置”复选框，然后选择“已启用”。

5. 将服务启动模式设置为 “手动”。

6. 展开“安全”节点，确保将以下属性和对象设置为**“允许**”。

   properties	对象
   经过身份验证的用户	查询模板、查询状态、枚举依赖项、启动、暂停并继续、审讯、读取权限、用户定义的控件
   Builtin\Administrators	完全控制
   交互	查询模板、查询状态、枚举依赖项、启动、暂停并继续、审讯、读取权限、用户定义的控件
   服务	查询模板、查询状态、枚举依赖项、暂停并继续、询问、用户定义的控件
   系统	查询模板、查询状态、枚举依赖项、启动、暂停并继续、审讯、停止

7. 选择“确定**”**以应用安全更改。

8. 选择“确定**”**以应用组策略更改。

9. 通过等待组策略更新或手动启动更新，将 GPO 应用到受影响的计算机。

10. 尝试使用以下功能之一：

    • runas 命令
    • 以管理员 身份运行选项
    • 以其他用户 选项身份运行

    此外，请确保可以切换用户，并正确启动辅助登录服务。

注意

不建议使用此解决方法，因为在组策略更新期间将重新应用权限。 但是，必须在升级后一次修复不正确的安全性。

详细信息

有关命令的详细信息 runas ，请访问以下 Microsoft TechNet 网站：

Runas

有关如何使用组策略管理控制台的详细信息，请访问以下 Microsoft TechNet 网站：

组策略管理控制台