Периодически возникает необходимость устанавливать, либо модифицировать уже существующие инсталляции Windows Server(речь идет прежде всего о версии Server 2016, хотя есть данные и о подобной ошибке в 2012R2), и в частности - добавлять, удалять или модифицировать роли (Roles).

Возникающая ошибка связана с невозможностью модификации ролей, при этом сервер сообщает:

The operation cannot be completed, because the server that you specified requires a restart

, после чего уходит в циклическую перезагрузку. Даже после перезагрузки, попытка изменения роли приводит к тому же результату - ошибка выдается вновь, и установить\модифицировать роль невозможно.

Для анализа ошибки перейдем в журнал событий( Event Viewer ), и увидим, что во время выполнения операции генерируется сообщение об ошибке EventID 7041 с источником Service Control Manager.

Исходя из этого, нужно предоставить права для входа в качестве службы для NT SERVICE\ALL SERVICES  и NT SERVICE\MSSQL$MICROSOFT##WID (отвечает за установку ролей WSUS и SQL server).

Запускаем Консоль редактора локальных групповых политик gpedit.msc, проходим по пути Computer Configuration –> Windows Settings –> Security Settings –> Local Policies –> User Rights Assignment; где ищем политику Log on as a service.

Если открыть ее свойста, можно посмотреть, какие сервисы там присутствуют и попытаться добавить в нее NT SERVICE\ALL SERVICES  и NT SERVICE\MSSQL$MICROSOFT##WID вручную.

В части случаев сделать это невозможно, выдается сообщение, что учетная запись с таким именем не найдена.

В этос случае придется использовать утилиту  ntrights.exe ​​​​​​​из состава Windows Server 2003 Resource Kit( который придется скачать и установить, взять его можно здесь - https://www.microsoft.com/en-us/download/details.aspx?displaylang=en&id=17657 )

Из командной строки(запущенной с административными правами, Run as administrator)выполняем следующие команды:

cd “C:\Program Files (x86)\Windows Resource Kits\Tools”
ntrights.exe +r SeServiceLogonRight -u “NT SERVICE\ALL SERVICES”
ntrights.exe +r SeServiceLogonRight -u “NT SERVICE\MSSQL$MICROSOFT##WID”

Далее необходимо проверить, присутствует ли в списке сервисов в политике Log on as a service  сервис NETWORK SERVICE, если его нет - требуется добавить его вручную.

После выполнения данных действий еще раз заходим в Computer Configuration –> Windows Settings –> Security Settings –> Local Policies –> User Rights Assignment - Log on as a service и проверяем, что желаемые системные УЗ появились там.

Перезагружаем сервер, и убеждаемся что операции  с ролями стали доступны.