# KB - Windows - Autoriser un utilisateur à redémarrer le service

Applicable à : windows 10 et supérieur, windows 2012 et supérieur

### Besoin Un utilisateur est gestionnaire du service applicatif et doit pouvoir relancer le service au besoin. Cependant, il ne faut pas lui donner de droits d'administration. --- ### Solution

Solution CMD

lancer un CMD en tant qu'administrateur. [![image.png](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/nefimage-png.png)](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/nefimage-png.png)

***Info*** : la commande va réécrire les permission en remplaçant l'existant. il faut donc d'abord récupérer les droits existants afin de ne pas les perdre.

Voir les droits existants avec la commande : ```bash sc sdshow .exe ``` [![image.png](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/TrAimage-png.png)](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/TrAimage-png.png) Copier le résultat, récupérer également le SID de l'utilisateur pour lequel rajouter les droits. Puis créer la chaîne SDDL en se basant sur les informations fournies au format : (<action>;;<droits>;;;<SID>) *exemple : on veux ajouter à l'utilisateur x les droits de voir le status du service et de le stopper / démarrer.* - *(A;;LCRPWPCR;;;<sid de x>)* *ce qui donne la chaine complète suivante :* [![image.png](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/47Eimage-png.png)](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/47Eimage-png.png) Appliquer les nouvelles autorisation avec la commande : ```bash sc sdset "

Solution Powershell

Prérequis : Powershell 6 ou plus.

Lancer Powershell en tant qu'administrateur. [![image.png](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/ibjimage-png.png)](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/ibjimage-png.png)

***Info*** : la commande va réécrire les permission en remplaçant l'existant. il faut donc d'abord récupérer les droits existants afin de ne pas les perdre.

--- ### Signification de l'encodage Les lettres avant les parenthèses **D:** and **S:** - **D:** pour ***discretionary access control list*** (***DACL***) - **S:** pour ***system access control list*** (***SACL***) Voir **["Access Control Lists"](https://docs.microsoft.com/en-us/windows/win32/secauthz/access-control-lists)** pour plus d'informations (article en anglais). La première lettre a deux valeurs possibles selon que l'on va autoriser ou interdire les actions: ***allow (A)*** or ***deny (D)***. La chaîne de caractère qui suivra représente les autorisations sur le services : - **CC** — SERVICE\_QUERY\_CONFIG (request service settings) - **LC** — SERVICE\_QUERY\_STATUS (service status polling) - **SW** — SERVICE\_ENUMERATE\_DEPENDENTS - **LO** — SERVICE\_INTERROGATE - **CR** — SERVICE\_USER\_DEFINED\_CONTROL - **RC** — READ\_CONTROL - **RP** — SERVICE\_START - **WP** — SERVICE\_STOP - **DT** — SERVICE\_PAUSE\_CONTINUE Les deux derniers caractères représentent les comptes et groupes built-in de windows et peuvent être remplacé par le SID de l'utilisateur ou du groupe auquel s'appliquera la politique. - AU --> Authenticated Users - AO --> Account operators - AN --> Anonymous logon - AU --> Authenticated users - BA --> Built-in administrators - BG --> Built-in guests - BO --> Backup operators - BU --> Built-in users - CA --> Certificate server administrators - CG --> Creator group - CO --> Creator owner - DA --> Domain administrators - DC --> Domain computers - DD --> Domain controllers - DG --> Domain guests - DU --> Domain users - EA --> Enterprise administrators - ED --> Enterprise domain controllers - WD --> Everyone - PA --> Group Policy administrators - IU --> Interactively logged-on user - LA --> Local administrator - LG --> Local guest - LS --> Local service account - SY --> Local system - NU --> Network logon user - NO --> Network configuration operators - *NS --> Network service account* - PO --> Printer operators - PS --> Personal self - PU --> Power users - RS --> RAS servers group - RD --> Terminal server users - SA --> Schema administrators - SU --> Service logon user --- ### Sources [How to set a Windows Service's permissions using ServiceControl and SDDL - Advanced Installer Community](https://www.advancedinstaller.com/forums/viewtopic.php?t=49990) [How to Allow Non-Admin User to Start/Stop Service in Windows | Windows OS Hub](https://woshub.com/set-permissions-on-windows-service/)