Назад | Перейти на главную страницу

Как я могу запустить процесс как «NT Authority \ NetworkService»?

Я раздумываю над идеей сценария, который обновлял бы данные компьютера в Active Directory с информацией о его марке и модели. В идеале я бы хотел, чтобы этот сценарий имел доступ к AD через учетную запись компьютера, а это значит, что мне нужно, чтобы сценарий выполнялся как «NT Authority \ NetworkService». Возможно ли это? В качестве альтернативы, могу ли я выдать себя за NetworkService в скрипте / исполняемом файле?

Вы можете использовать devxexec: http://blog.developex.com/?p=1053

Например:

devxexec.exe / пользователь: NETWORK_SERVICE cmd

«Разработчик сценария» уже ответил на этот вопрос здесь: http://www.microsoft.com/technet/scriptcenter/resources/qanda/apr05/hey0429.mspx

Вам просто нужно включить вызов WMI, чтобы получить номер модели машины ...

Моя реализация выглядела так:

Set objSysInfo  = CreateObject("ADSystemInfo")
Set objUser     = GetObject("LDAP://" & objSysInfo.UserName)
Set objComputer = GetObject("LDAP://" & objSysInfo.ComputerName) 

If objComputer.operatingSystem = "Windows*Server*" Then
    Quit
Else
    strMessage = objUser.CN & " logged on to " & objComputer.CN & " " & Day(Date) & "/" & Month(Date) & "/" & Year(Date) & " " & Time & "." 

    objComputer.Description = strMessage
    objComputer.SetInfo 
End If

Вызовите приведенный выше сценарий из GPO, используя: User Config -> Windows Settings -> Scripts -> Logon.

Затем просто обновите разрешения для OU, чтобы пользователи могли изменять описания объектов компьютера, например:

Если компьютеры уже существуют в AD, я бы подошел к этой проблеме с другой стороны - на стороне сервера просмотрите объекты компьютера и используйте PsExec, чтобы найти нужную информацию в удаленной системе и вернуть ее.

http://technet.microsoft.com/en-us/sysinternals/bb897553.aspx

Затем я запустил сценарий под учетной записью с необходимыми разрешениями с помощью планировщика заданий.

http://technet.microsoft.com/en-us/library/cc721871.aspx

Я не уверен, насколько возможно делать то, что вы хотите. Эскалацию разрешений лучше запрашивать в StackOverflow. Однако чего не запускать скрипт от имени локального админа. За исключением DC, учетная запись существует. На \ DC вы можете запустить его как администратор домена или другую учетную запись, у которой будут ограниченные разрешения для этой задачи.