修改 Windows MSI 安装程序中的服务控制权限

Question

所以现在我正在尝试使用以下命令更改 Windows 服务的权限： sc sdset SERVICENAME PERMISSIONS

我已将其作为操作放置在 MSI 安装程序中，并且似乎执行得很好。但是，sc 需要管理员 privlidges 来设置权限，而我似乎无法在 MSI 安装程序中找到执行此操作的方法。我尝试使用命令 runas /user:administrator 但不幸的是，这在安装程序将运行的计算机上可能会有所不同。

有什么建议吗？

Answer 1

要以完全权限运行自定义操作，您可以将其标记为延迟而不进行模拟。每个设置创作工具的执行方式都不同，因此如果您需要更多详细信息，则需要更具体地了解您所使用的工具。

基本设置为：

• 在 InstallExecuteSequence 表
• 集 msidbCustomActionTypeInScript 和 msidbCustomActionTypeNoImpersonate 标记位于 CustomAction 表

这样您的自定义操作将在具有完全权限的本地系统帐户。

Answer 2

从 Windows Installer 5.0 开始，您还可以使用 MsiLockPermissionsEx 表。例如，在 WiX 中，它看起来像这样：

<ServiceInstall Name="Your Service Name" ErrorControl="normal" Start="demand" Type="ownProcess">
  <PermissionEx Sddl="long ugly SDDL string" />
</ServiceInstall>

这为我创建了一个具有正确权限的服务。它还应该照顾管理员权限，尽管我还没有测试过仅使用该服务的独立安装程序。另请参阅：

• https://wixtoolset.org/docs/v3/xsd/wix/ PermissionEx/（如您所见，PermissionEx 承认 ServiceInstall 的父级）
• https://learn.microsoft.com/en-us/windows/ win32/msi/msilockpermissionsex-table（这里是您的服务权限最终的位置 - 请与 Orca 等核实）