Могу ли я развернуть пакетный файл с групповой политикой для запуска от имени администратора?
Я создал пакетный скрипт, который заблокирует Facebook, изменив hosts файл в этом месте C:\windows\system32\drivers\etc\hosts
Это содержимое командного файла:
@echo off
echo 127.0.0.1 www.facebook.com >> C:\windows\system32\drivers\etc\hosts
exit
Я протестировал этот командный файл на своем локальном компьютере, и он работает, однако он будет работать только тогда, когда я запускаю его как администратор.
Можно ли развернуть этот командный файл на всех компьютерах в моей сети под управлением администратора с помощью групповой политики?
Я использую Windows Server 2012.
Да, вы можете развертывать пакетные файлы с помощью групповой политики, которая будет работать в контексте локальной системы. Очень распространенный способ сделать это - сценарии запуска компьютера. (В отличие от сценариев входа в систему.)
Кроме того, это, вероятно, худший из возможных способов блокировки Facebook.
Из http://technet.microsoft.com/en-us/library/cc770556.aspx
Сценарии запуска запускаются под учетной записью локальной системы, и у них есть полные права, связанные с возможностью запуска под учетной записью локальной системы.
Учетная запись Local System по сути даже более мощная, чем Administrator.
Я знаю, что это старый пост, но какого черта? Я не уверен, что случилось с скептиками. Указание нежелательного домена на локальный адрес обратной связи кажется прекрасным способом заблокировать доступ. Это предотвратит возвращение DNS реального адреса сайта Facebook, и если пользователь не является локальным администратором, даже если они знают о файле hosts, которого они, вероятно, не знают, у них не будет разрешений на его изменение. .
Проблема, которую я вижу в вашем подходе, заключается в том, что если он у вас запущен, вы будете добавлять одну и ту же строку в свой файл hosts снова и снова бесконечно.
Если вы собираетесь это сделать, у вас должен быть сценарий, который ищет эту строку в файле и добавляет ее только в том случае, если она еще не существует (и, возможно, редактирует ее, если он не говорит, что вы хотите ).
Наконец, запуск от имени локальной учетной записи SYSTEM не будет работать, если сценарию требуется доступ к сети, если только вы не предоставите соответствующие разрешения группе AD «Компьютеры домена» и не будете готовы выполнить небольшую отладку.
Вы можете изменить это на:
0.0.0.0 www.facebook.com
Если вы используете адрес обратной связи, вам придется дождаться тайм-аута, если нет локального веб-сервера.