拥有WRITE_DAC权限的用户为何无法修改服务DACL？

核心原因 #

Windows服务对象的DACL修改操作，除了需要对象本身的WRITE_DAC权限外，还要求调用者的用户令牌拥有SeSecurityPrivilege（安全权限）：

• 普通用户默认没有启用这个特权，即使你给了服务的完全访问权限，也会因为缺少系统级特权而被拒绝。
• 管理员组用户默认拥有并启用该特权，所以加入管理员组后操作成功。

额外验证点说明 #

• 调整DACL条目顺序无效，因为权限检查的核心是系统特权，而非ACE的排列顺序。
• 命令行下目标用户操作失败，同样是因为该用户没有SeSecurityPrivilege，和程序调用的权限逻辑一致。

可行解决方案 #

1. 最小权限代理方案（推荐，符合仅修改单个服务的需求）：
   编写一个以高权限身份（如LocalSystem、管理员）运行的代理服务/进程，提供受控接口让目标用户触发指定服务的DACL修改操作。这样既避免给用户系统级特权，又能实现单个服务的权限修改。

2. 分配系统特权（不推荐）：
   通过本地安全策略（secpol.msc）给目标用户分配SeSecurityPrivilege（路径：本地策略→用户权限分配→管理审核和安全日志）。但此操作会赋予用户修改系统内所有对象安全设置的权限，扩大了权限范围，不符合最小权限原则。

内容的提问来源于stack exchange，提问作者Eoghan Doyle