Как разрешить пользователям без прав администратора запускать сценарий VBS, который требует более высоких прав?

Question

У меня есть скрипт VBS, который необходимо предоставить конечным пользователям, но он требует больше прав, чем у них на заблокированных рабочих станциях, в частности, обновление некоторых значений реестра HKLM и остановка / запуск службы Windows. Есть ли способ, которым я могу предоставить им возможность запустить скрипт, чтобы он работал? например, запускать от имени другой учетной записи, не требуя, чтобы пользователи имели другую учетную запись для входа в систему как?

Скрипт не является частью процесса входа в систему. Это позволяет пользователям, которые тестируют программный продукт, направлять свои машины в другую «среду», чтобы они могли переключаться между тестовой и активной средами.

ОБНОВЛЕНИЕ: я в порядке, если единственное решение подразумевает выполнение чего-либо вне VBS, было бы хорошо иметь несколько вариантов.

Answer 1

Не без шифрования пароля и включения его в сценарий VBS.

Существуют и другие параметры, например удаленные сценарии, но они могут быть отключены в зависимости от того, являетесь ли вы частью домена.

Является ли сценарий частью процесса входа в систему?

редактировать:

Скрипт не является частью процесса входа в систему. Это позволяет пользователям, которые тестируют программный продукт, направлять свои машины в другую «среду», чтобы они могли переключаться между тестовой и активной средами.

ОБНОВЛЕНИЕ: я в порядке, если единственное решение подразумевает выполнение чего-либо вне VBS, было бы хорошо иметь несколько вариантов.

Без дополнительных подробностей лучшее решение, которое я могу порекомендовать, - это создать отдельную учетную запись пользователя и изменить ACL ключей реестра, чтобы явно разрешить этой учетной записи изменять эти ключи. Затем запустите скрипт под этой учетной записью. Попробуй это.

Answer 2

Один из способов сделать это - использовать NSSM или аналогичный инструмент для запуска сценария в качестве системной службы. Затем вы можете настроить безопасность службы, чтобы позволить пользователю запускать ее, и, возможно, написать сценарий, который делает это для них.

Answer 3

Если вы можете настроить запланированное задание и иметь доступ к команде "schtasks" для запуска задания, вы можете настроить его для запуска от имени любого пользователя или даже от прав доступа к системе, не раскрывая никаких паролей или не предоставляя повышенные права доступа для любого пользователя. команда, кроме той, которую вы создали. Поскольку это немного сложнее, вот ссылка на мой ответ на другой похожий вопрос / проблему: superuser.com/a/903881/229612

Answer 4

Немного ориентированный на программирование ответ, но я бы написал небольшую службу .NET Windows и клиентское приложение, которое могло бы безопасно обмениваться данными через WCF/удаленное взаимодействие. Служба будет просто слушать запросы от клиента и, если клиент авторизован, запустить сценарий. Служба будет работать как учетная запись с правильными разрешениями.

РЕДАКТИРОВАТЬ

В аналогичной стратегии вы можете настроить сценарий как запланированное задание, которое будет запускаться от имени пользователя с разрешениями на выполнение того, что вам нужно. Затем предоставьте пользователям разрешение на выполнение запланированной задачи. Для этого вам нужно перейти в %SYSTEMROOT%\System32\Tasks и установить разрешения NTFS для соответствующего файла задачи.

Answer 5

Чтобы предоставить разрешения для запуска сценариев на локальном компьютере

1. В Internet Explorer откройте% windir%\system32 (например, C:\WINDOWS\System32).
2. В области сведений щелкните правой кнопкой мыши файл cmd.exe и выберите пункт Свойства.
3. В диалоговом окне Свойства cmd.exe на вкладке Безопасность нажмите кнопку Добавить.
4. В диалоговом окне «Выбор пользователей, компьютеров или групп» в поле «Введите имена объектов для выбора»
5. введите имя пользователя, которому вы хотите предоставить разрешения, и нажмите кнопку ОК.

В диалоговом окне «Свойства» cmd.exe на вкладке «Безопасность» в поле «Разрешения для администраторов» установите флажок «Разрешить» для чтения и выполнения и нажмите кнопку «ОК».