答え1
subinacl ツールを使用するとそれが可能になります。これについては、次のブログ記事で説明しています。https://www.eventsentry.com/blog/2007/11/setting-service-permissions-wi.html
ただし、subinacl は簡単に入手できなくなりましたが、組み込みの icacls.exe でまったく同じことができるはずです。
偶然にも、その投稿で参照されている製品 (EventSentry) はこれをネイティブで実行し、ユーザー、スタートアップの種類、バイナリなどのサービス プロパティが変更されるたびにアラートを生成できます。