Скрипт входа в систему с использованием сети * /delete /yes

Question

Я пытаюсь избавиться от всех подключенных вручную сетевых дисков на всех рабочих станциях в моем домене. Я хочу, чтобы сопоставленные диски нашего конечного пользователя отображались исключительно через GPO (GPO уже есть).

Я пытаюсь написать скрипт, который будет:

1. Разархивируйте все сетевые диски при входе пользователя
2. Запустите gpupdate /f чтобы переназначить диски на основе примененного объекта групповой политики.

Я планирую применить эту политику сценариев входа в систему только на несколько недель, пока не смогу проверить, что все подключенные вручную диски исчезли.

Вот содержимое моего пакетного скрипта:

REM Delete all mapped drives
net use * /del /y

REM force a group policy update to map all drives according to GPO's.
gpupdate /force 

REM create a directory to verify the script is actually running.
mkdir %USERPROFILE%\test

Я поместил этот скрипт в каталог NETLOGON на контроллере домена. Сценарий запускается так, как задумано, если он запускается вручную из этого каталога. Однако при применении в качестве сценария входа в систему команда net use /delete /yes не работает. Я проверил, что скрипт действительно выполняется во время входа в систему с помощью mkdir %USERPROFILE%\test .

Я даже пытался перенаправить вывод первой команды net use * /del /y > result.txt и вывод получился как

"В списке нет записей"

Есть ли какая-то причина, по которой мой скрипт работает, когда я запускаю его вручную, а не как скрипт входа?

Сервер: Windows 2012R2
Хост: Windows 10

Answer 1

У меня только что возникла проблема с использованием net use g: /delete /yes в Windows 2012R2, это вызывало конфликты при отображении. Мое сопоставление дисков G сопоставлялось с другими серверами, и иногда появлялись дополнительные диски с сопоставлением z, которые были призраками. Это не было в пакетном скрипте

Если вы должны удалить сетевые диски до фактических сопоставлений с помощью общих ресурсов на сервере 2012R2, используйте net use g: /del (ТОЛЬКО)... это будет работать на сервере 2012R2

MJ

Answer 2

Если рассматриваемый пользователь является администратором, (не) сопоставление дисков с использованием сценариев не будет работать.

С UAC у вас есть два токена и сеансы входа в систему: один со всеми разрешениями («повышенные») и один только с ограниченными разрешениями. Сценарии, запускаемые объектами групповой политики, запускаются с полными разрешениями.

Сопоставленные диски отслеживаются за сеанс. Когда вы пытаетесь отобразить или удалить карты из сценариев входа / выхода, они будут доступны только для программ, работающих с повышенными правами. Explorer никогда не запускается с повышенными правами по умолчанию.

Вот больше информации непосредственно от Microsoft.

Чтобы обойти это, используйте следующий скрипт .reg . После этого изменения в сопоставленных акциях повлияют как на полный, так и на ограниченный токен.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"EnableLinkedConnections"=dword:00000001

Это также исправляет ошибки при попытке запустить настройки (или другие вещи, которые работают с повышенными правами) с подключенных дисков.