Почму не отрабатывает Startup скрипт в GPO?

Question

[Digsecman]

Здравствуйте!
Пытаюсь добавить logon скрипт для запуска chocolatey средствами GPO на пк домена (везде win 10 x64).
Домен поднят на Windows Server 2019

Что делаю:

ps1 скрипт ложу сюда
%SYSTEMROOT%\SYSVOL\domain\scripts

Параметры:

Script name: %windir%\System32\WindowsPowerShell\v1.0\powershell.exe
Script Parameters: -Noninteractive -ExecutionPolicy Bypass –Noprofile -file %~dp0deploy.ps1

скрипт deploy проверил локально - работает.

gpupdate /force

но когда логинишься ничего ровным счетом не происходит на хостах(
пожалуйста подскажите что не так

Comments

[сергей кузьмин]

Digsecman попробуйте отладить ваш скрипт deploy.ps1 - добавьте логирование

windows не особенно хорошо работает во время создания интерактивной сессии профиля пользователя - вы скорее всего узнаете из созданного лога что именно останавливает скрипт

и кстати в вопрсе не показан сам скрипт а экстрасенсов нету тут

[Владимир]

В поле с названием Scriptname указан путь к Powershell.exe
Подозрительно...

[MaxKozlov]

Владимир, ps из GPO именно так и надо запускать, у него нет дефолтной ассоциации.

А в event log должно быть всё написано

[Digsecman]

сергей кузьмин,

%SystemRoot%\System32\WindowsPowerShell\v1.0\powershell.exe -NoProfile -InputFormat None -ExecutionPolicy Bypass -Command "iex ((New-Object System.Net.WebClient).DownloadString('https://chocolatey.org/install.ps1'))" && SET "PATH=%PATH%;%ALLUSERSPROFILE%\chocolatey\bin";

$Computers = Get-ADComputer -Filter * -SearchBase "OU=PC,DC=test.deploy.ua,DC=local" | Select-Object -ExpandProperty Name

Invoke-Command -ComputerName $Computers -ScriptBlock {

$PackagesList = @("googlechrome","slack","foxitreader","slack","googledrive", "7-zip")

Foreach($Package in $PackagesList){

choco install $Package -fy
}
}

[MaxKozlov]

Digsecman, это содержимое того что у вас в -file из gpo?
И по вашей мысли все компы должны вот это всё сделать?

что за каша из cmd и ps?
Ps && set не поймет

И врятли get-adcomputer у вас есть на всех компах
Или это не один скрипт, а несколько?

[Роман Безруков]

Digsecman, судя по листингу, у вас каждый комп выполняет поиск других компов в домене и пытается что-то на них устанавливать
Политика куда прилинкована?

[сергей кузьмин]

Digsecman, спасибо - к сожалению то что показали это не является ни синтаксически корректным бат файлом ни пошем так что выбрасывайте и заново пишите

неработающие скрипты очевидно запустить невозможно
решите одну задачу а решив ее двигайтесь впере

в скрипте которвй я подозеваю вы где то нашли - а не сами писали - скрипт пытается сканировать все компьютеры и ставить все всюду -
это не получится делать групповыми политиками каждому юзеру
никак

[Digsecman]

MaxKozlov, это содержимое того что у вас в -file из gpo? Да. Мысль в том что скрипт формирует список компов на домене на которые нужно деплоить софт и это делает.
Пытался несколько скриптов слепить в один

[Digsecman]

Роман Безруков, не каждый комп а домен формирует список хостов куда надо ставить софт.
Не совсем понял вопрос куда прилинкована? На автозапуск для всех авторизированных юзеров в домене если верно понял

[Digsecman]

сергей кузьмин, да, скрипт брал за основу чужой.
А как можно продеплоить на все компьютеры?
1)Нужно скрипт скачать с инета который ставит репу cholatey;
2) затем ставит в автоматическом режиме софт
3) если софт стоит уже тогда запускается апгрейд

Я пока не пойму как запустить PowerShell скрипт и когда он отработает закрывается окно и вызывается окно новое повершелл и затем дальше.

[сергей кузьмин]

Digsecman, вот и разбирайтесь :-) пишите в лог (файловая система или eventlog) и все узнаете

Ты, Петька, прежде чем о сложных вещах говорить, разберись с простыми - пелевин Цитата номер 1579934

[MaxKozlov]

Digsecman,

скрипт формирует список компов на домене на которые нужно деплоить софт и это делает.

Зачем каждому компу в домене формировать список компов в домене ??

ваш скрипт не должен ничего формировать, а должен скачать и заапгрейдить
а списком компов в домене занимается GPO

А вообще, если вам нужен computer-wide софт, а не user-wide,
вам проще вообще с GPO не связываться, а таки сформировать список компов в домене и расставить везде софт удалённо, со своего рабочего.

[Владимир]

Владимир, ps из GPO именно так и надо запускать, у него нет дефолтной ассоциации.

MaxKozlov,
я так с ходу вот прям "официальной" документации не нашел, но
https://winitpro.ru/index.php/2017/09/01/zapusk-lo...
и
https://devblogs.microsoft.com/scripting/using-gro...

А как это работает - я каждый день вижу. Хотя, на большинстве машин расширение .ps1 принудительно ассоциировано с Блокнотом.

[Владимир]

Digsecman,
раз у вы в самом начале пути, я бы сразу посмотрел на WinGet - минус сторонний компонент и скрипт проще получиться.

А так, присоединяюсь к сергей кузьмин - надо разбираться начинать с простых вещей:
1. Посмотреть, что в Windows EnevtLog по запуску скрипта.
2. Попробовать запускать скрипт, который единственное что делает - пишет в файл.
3. Когда появиться уверенность, что скрипт запускается - добавить что-то из интересующей логики.
4. и т.д.

P.S. - Если мысль идет от "все компьютеры", тогда, действительно, зачем ставить софт при входе пользователя? Тем более, не весь софт можно поставить с правами пользователя...

[MaxKozlov]

Владимир, По первой вашей ссылочке как раз и сказано

До Windows 7 и Windows Server 2008 R2 нельзя было напрямую выполнять PowerShell файлы из GPO (приходилось вызывать ps1 файлы из bat файлов в качестве параметра исполняемого файла powershell.exe).

Каюсь, с тех пор даже не пытался :) Автор, видимо, тоже нашёл старый гайд, но применил его неправильно. и в этом одна из его проблем, которую вы заметили

На мой взгляд, логон-скрипты после появления preferences в целом вещь малонеобходимая.
Просто ремотингом те же задачи установки софта вполне решаются.

[Digsecman]

MaxKozlov, я верно понимаю что ps скрипт нужно запускать с контроллера домена?
хочу сформировать список хостов с winows 10 для деплоя и установить chocolatey на них
но к сожалению не работает(
вот тело скрипта:

Start-Transcript
$computers = (Get-ADComputer -Filter 'operatingsystem -like "*Windows 10*" -and enabled -eq "true"').Name
Invoke-Command -ComputerName $computers -ScriptBlock {Set-ExecutionPolicy Bypass -Scope Process -Force; [System.Net.ServicePointManager]::SecurityProtocol = [System.Net.ServicePointManager]::SecurityProtocol -bor 3072; iex ((New-Object System.Net.WebClient).DownloadString('https://chocolatey.org/install.ps1'));
choco feature enable -n=allowGlobalConfirmation;choco feature enable -n useFipsCompliantChecksums};
Start-Process PowerShell -wait -verb open -ArgumentList "choco install googlechrome -fy; choco install 7zip -fy; choco install slack -fy; choco install adobereader -fy; choco install googledrive -fy"; -ErrorAction SilentlyContinue -ThrottleLimit 120 –AsJob

дебаг лог вложил

[Digsecman]

https://pastebin.com/7SQB2AkZ

[MaxKozlov]

Digsecman, для получения списка компов DC необязателен.
Рабочий комп с установленным RSAT вполне достаточен. установка:

Add-WindowsCapability –Online –Name “Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0”