Я пытаюсь настроить процесс, чтобы наша группа поддержки (не являющаяся администраторами) имела доступ к удаленному включению или отключению группы правил брандмауэра Windows.
Я сделал следующее, чтобы получить возможность удаленного доступа ...
Enable-PSRemoting -Force
winrm quickconfig
Set-Item -Path WSMan:\Localhost\Client\TrustedHosts -Value '$supteam' -Concatenate
New-NetFirewallRule -DisplayName <dispName> -Profile <profile> -Enabled True -Action Allow -RemoteAddress $supteam -Direction Inbound -LocalPort <winRMport> -Protocol TCP -Program System
При запуске команды ...
Invoke-Command -ComputerName <ipAddress> -ScriptBlock { netsh advfirewall firewall set rule group="<ruleGroupName>" new enable=<yes/no> } -Credential $creds
Я получаю следующий вывод ...
Запрошенная операция требует повышения прав (Запуск от имени администратора).
Сеанс PowerShell, в котором я запускаю указанную выше команду, открыт как администратор (то есть в строке заголовка указано «Администратор: Windows PowerShell»). Контроль учетных записей (UAC) отключен на конечном сервере.
ПРИМЕЧАНИЕ. Я также попытался использовать эквивалент PowerShell для (en | dis) настройки правил брандмауэра ...
Invoke-Command -ComputerName <ipAddress> -ScriptBlock { Get-NetFirewallRule -Group "<ruleGroupName>" | <Enable/Disable>-NetFirewallRule } -Credential $creds
И получите следующие выходные значения 3 (по одному на каждое правило)...
В доступе отказано.
+ CategoryInfo: PermissionDenied: (MSFT_NetFirewal ... ystemName = ""): root/standardcimv2/MSFT_NetFirewallRule) [Enable-NetFirewallRule], CimException
+ FullyQualifiedErrorId: системная ошибка Windows 5, Enable-NetFirewallRule
+ PSComputerName: ipAddress
Я могу получить список правил, используя ...
Invoke-Command -ComputerName <ipAddress> -ScriptBlock { Get-NetFirewallRule -Group "<ruleGroupName>" } -Credential $creds
Поэтому я понимаю, что (en | dis) правила брандмауэра могут выполняться только членами локальной группы администраторов удаленного сервера.
Если мои предположения верны, возможно ли разрешить доступ группы без прав администратора для изменения брандмауэра? Если это так, любые инструкции или ссылки будут с благодарностью!