Коммандный UAC?

Question

[WSGlebKavash]

В GUI Windows можно подать запрос Uac нажав правой кнопкой мыши по ярлыку и выбрав пункт: "Запуск от имени администратора". Если пользователь находится в группе Администраторы, то ему надо будет нажать "Ок", если нет, то надо ввести пароль администратора и нажать "Ок".
Но что если нет графического интерфейса, есть только SSH или Telnet? Как подать запрос UaC через cmd/powershell и через какие утилиты?

Comments

[WSGlebKavash]

P.S:

Данная тема обсуждается на многих русскоязычных и англоязычных форумах, но однозначного ответа нет нигде.

Answer 1

[Saboteur]

powershell Start-Process -FilePath "%0" -ArgumentList "%cd%" -verb runas >NUL 2>&1

if not "%1"=="am_admin" (powershell start -verb runas '%0' am_admin & exit /b)
"Put your command here"

Comments

[WSGlebKavash]

Saboteur, На Windows Server Core (редакция без Desktop Experience) всё работает. Но там нет UAC и запрос прав администратора не нужен. Как будет работать в реальной среде я отпишусь.
Большое спасибо за идею.

[WSGlebKavash]

Saboteur, Протестировал работу SSH сервера на Windows Server. Всё работает, пользователь, находящийся в учётной записи "Пользователи" получает права пользователя, а пользователь, находящийся в папке "Администраторы", получает права администратора. Всё как положено, никакой UAC не требуется.
Большое спасибо за ответ и поддержку!

Answer 2

[MaxKozlov]

Смешались в кучу кони, люди....
Так у вас нет GUI (core edition) или вы логинитесь на машину удалённо через SSH ?
это кардинально разные истории.

UAC - он только для интерактивных и ремотных недоменных сессий.

https://docs.microsoft.com/en-us/troubleshoot/wind...

То есть если вы в домене, админ компа и логинитесь удалённо - на вас UAC не действует.
Если без домена - действует и в этом случае по ссылке написано как это отключить.

Судя по тому что вы не хотите давать права админа некоему челу - доступ у вас есть, делайте сами удалённо :)
Если же надо что-то этакое запустить от админа, но в локальной сессии - task scheduler.

И только если надо непременно что-то интерактивно, локально, от админа, но кем-то другим - права локального админа на время работы.

Кстати, при логине через ssh на винду по-моему даже недоменному админу LocalAccountTokenFilterPolicy не нужен

Comments

[WSGlebKavash]

MaxKozlov,

Так у вас нет GUI (core edition)

Там UAC отсутствует в принципе. Всё итак хорошо работает.

или вы логинитесь на машину удалённо через SSH ?

Да, логинимся по SSH и sFTP, если рабочий стол не нужен.

[WSGlebKavash]

MaxKozlov, Протестировал работу SSH сервера на Windows Server. Всё работает, пользователь, находящийся в учётной записи "Пользователи" получает права пользователя, а пользователь, находящийся в папке "Администраторы", получает права администратора. Всё как положено, никакой UAC не требуется.
Большое спасибо за ответ и поддержку!

[MaxKozlov]

WSGlebKavash, можете отметить ответом :)

Answer 3

[Василий Банников]

Через cmd: runas
Через pwsh:
- через Start-Job -Credentials
- через New-PSSession Enter-PSSession и тоже передавать Credentials

Comments

[WSGlebKavash]

Василий Банников,

Через cmd: runas

А смысл? Комманда runas зависит от UAC и будет работать, только если runas /user:DOMAIN\Администратор. Но в таком случае профиль сменится и это не то, что нужно.

[Василий Банников]

WSGlebKavash, а можно применительно к конкретной задаче? Чем конкретно runas не подходит?
Кажется, при нажатии "Запустить от имени администратора" тоже процесс будет запущен от имени админа (который введёт пароль), а не от имени пользователя, который нажал кнопку.

[WSGlebKavash]

Василий Банников,

Чем конкретно runas не подходит?

Надо давать пароль Администратора домена. А если я не доверяю пользователю. Можно дать логин и пароль пользователя, находящегося в группе "Администраторы", но в случае с runas это не работает.

Кажется, при нажатии "Запустить от имени администратора" тоже процесс будет запущен от имени админа (который введёт пароль), а не от имени пользователя, который нажал кнопку.

Если пользователь находится в группе "Администраторы", то процесс будет запущен от его имени.

Так как можно реализовать sudo в Windows?

[AntHTML]

WSGlebKavash, sudo = runas, и там и там требуется права и пароли, лучше выясняйте каких конткретно доступов не хватает юзеру для выполнения задачи, а не давайте глобального админа

[Василий Банников]

WSGlebKavash, так вродеж и с UAC пользователю придётся ввести имя админского пользователя и пароль.