Как управлять AD без ведома пользователя?

Question

[Detsle]

Помнится мне была утилита для удалённого администрирования средствами AD, чтобы пока пользователь работает, админ мог настраивать или смотреть от другой учётки комп, одновременно.

Answer 1

[Евгений Хлебников]

Есть два варианта удаленного подключения к компьютеру :
1. для технической поддержки пользователя, интерактивно
2. для административных задач.

Клиентские ОС не подразумевают одновременную интерактивную работу с ОС двух пользователей без хаков : вы или будете подключаться к сеансу уже залогиненного пользователя, или же выкидывать его, чтобы "поработать" под своей учетной записью.

Для нужд технической поддержки (подключение к сеансу пользователя) есть куча разных утилит, платных и бесплатных, я же порекомендую обратить внимание на нативное решениt : remote assistance, который присутствует в клиентских ОС, начиная с windows 2000.
Плюсы : доменные компьютеры могут быть настроены на разрешение подключения к пользователям группы технической поддержки через gpo. Поддержка осуществляется как с удаленным управлением, так и без. Присутствует в системе, не требует софта.
Особенность (многие считают её минусом) : не подразумевает, ради безопасности, тайное подключение к сеансу пользователя без запроса.

Для административных нужд есть возможность управлять компьютером через powershell remoting (или pstools для ОС с отсутствующей PowerShell).

В домене Active Directory 99% задач по конфигурации пользовательских систем можно решить через gpo или, в срочных случаях, указанными выше средствами удаленного администрирования.

Comments

[Василий]

Согласен с вами, но не полностью. Часто бывает, что пользователь уходит по английски, а тебе необходимо его согласие на подключение. Так что необходимость подтверждения от пользователя действительно недостаток. При чем его наличие весьма странно в корпоративной среде. Достаточно было бы просто высветить уведомление, мол "подключился В. Пупкин. Должность: Супер-мега-кулхацкер-всея-компании-эникейщик". Так что нативное средство не всегда подойдет.
Что касается PowerShell - да. Лучше через него, если групповыми политиками не решить, но таких задач практически не существует. Ведь если требующегося нет в групповых политиках, можно либо поискать соответствующий admx в инете, либо самостоятельно его написать. А можно написать скрипт и заставить его выполнится на клиентской машине.

[Сергей Ковалёв]

Василий: Вы можете привести примеры, когда требуется подключение к рабочему столу пользователя?

[Евгений Хлебников]

Василий: Недостатком это считается не зря : эникейщик - пользователь с ограниченным доступом к информации в организации. (То что в России принято не так и сотрудник технической поддержки называется "системный администратор" и занимается всем до чего руки дотянутся - в корне неверно).
Подключаясь к рабочему столу, сотрудник технической поддержки может получить доступ к информации о зарплатах, каких-то действиях, связанных с закупками, переписке коммерческого директора с инвесторами и тд и тп.
Если это происходит в отсутствие пользователя, ответственного за данную информацию, то и вина за её распространение, даже случайное, ляжет на самого пользователя. И даже "табличка" всплывающая не спасет - пользователя-то на месте уже нет.

И да, приведите пример, когда реально требуется подключение к пользователю без подтверждения. Вариант "ушел, не заблокировал компьютер, сказал подключиться и наделать делов" - не вариант.

[Василий]

yellowmew: Сергей Ковалёв:
С довольствием. yellowmew , вы верно рассуждаете с точки зрения идеальных взаимоотношений. И такое часто работает в больших серьезных организациях. Но в средних и малых компаниях такой подход не работает.
Очень часто случается, что у человека случилось что-то, он говорит примерно следующее: "Я через 5 минут убегаю на важную встречу и чтобы к моему возвращению все работало, как надо. Займешься решением моих проблем, когда я уйду".
В этой ситуации ты мог бы его послать и сказать, что ты имеешь право настройки только при нем. Но в этот момент может возникнуть несколько очень неприятных моментов, начиная от криков, заканчивая жалобами руководству. А оно тоже бывает адекватным далеко не всегда.
А бывает, когда сотруднику надо установить софт, который ему понадобиться сразу после возвращения со встречи, а перед уходом ему очень нужен компьютер для подготовки к этой самой встрече.
Дальше включаем фантазию.

[Сергей Ковалёв]

Василий: Разберем ситуации:
Неправильно:
Компьютер не блокируется, пароль пользователя известен - ИТ специалист приходит и ставит программу лапками.
Нормально:
Компьютер блокируется, пароль пользователя не известен - входим под RDP по учеткой администратора, ставим ПО, ярлыки размещаем на рабочем столе пользователя - готово.
Компьютер блокируется, пароль пользователя известен - входим под RDP/UltraVNC под учеткой администратора или пользователя с правами администратора и входа в систему через службу терминалов, ставим ПО - готово.
Хорошо: Запускаем удаленную установку через PSExec/KasperskySecurityCenter - готово
Отлично: Разворачиваем пакет через SystemCenter

[Василий]

Сергей Ковалёв: Так ведь о чем и речь. Совершенно классическая ситуация из "Нормально". Пароль известен, компьютер заблокирован. Так ведь и получается, что пользователь не видит, что делает ИТшник, который может и данные подсмотреть, и увести что-либо с компьютера. Т.е. опять возвращаемся к тому, с чего начинали.
SystemCenter - это здорово, но он денег стоит))

[Сергей Ковалёв]

Василий: ИТшнек имеет права админа в сети и на компе, знает пароль пользователя. И вы еще беспокоитесь что пользователь чего то не увидит и ИТшнек скопирует файлы? =)))
Вы угараете да?

[Василий]

Сергей Ковалёв: Ну в каком-то смысле :) Я по большому счету комментирую точку зрения yellowmew, который как раз и упомянул этот момент.

[Евгений Хлебников]

Василий: Сергей Ковалёв: в небольших организациях действительно терпимо относятся к тому, что сотрудник технической поддержки имеет полные права на компьютер и сетевые ресурсы, и, соответственно, имеет полный доступ.
Однако, в небольших же организациях, гораздо проще физически дойти до места (не считая территориально распределенных компаний) и сделать все быстро, чем подключаться удаленно (не считая закидонов типа "установи мне программу, но в кабинет я тебя не пущу, сопрёшь еще чего" - но это частный случай.)
Решения для удаленного управления, в основном, ориентированы или на удаленные офисы или же для крупных организаций с нормально организованным процессом технической поддержки, где безопасность данных важна.

Вообще, я считаю, что сервисе вопросов и ответов на ИТ тематику надо давать ответы в стиле "как надо" а не "как принято в этой стране". Потому что "как принято в этой стране" очень часто выливается в фактическое "и так сойдет".
И мы несколько удалились от основной темы вопроса.

[Василий]

yellowmew: Вот с этим вашим комментарием согласен на 99,9% в периоде. Хочется только добавить, что в некоторых сферах, например в банковской и в сфере розничной торговли, если у компании есть свой склад (тем более, если большой склад) на территории офиса, текущих задач зачастую такое кол-во, что бегать - это либо времени не хватит, либо ноги сотрешь.
Слава богу, я уже давно не занимаюсь конечной поддержкой пользователей (ну, почти), но память народная не увядает..

[Василий]

yellowmew: А по теме уже ответили. Вариантов масса и все основные уже обсудили. Так что просто трёп вполне правомерен :)

Answer 2

[Василий]

Т.е. вам требуется подключаться к компьютеру пользователя удаленно, под другим аккаунтом, чтобы он (пользователь) даже не заметил этого?

Comments

[Detsle]

Василий Ну да. Если нет, то чем вообще лучше админить компы через AD?

[Василий]

Много лет справлялся без таких заморочек. То, о чем вы говорите, наверняка существует, но нарушает лиц.политику майкрософт об удаленных подключениях. Проще говоря, вас могут взять за те штуки между ног и сильно сжать.
Зависит от того, что вам требуется. Обычно спасает TeamViewer или, что лучше, RDP подключение. Если за TeamViewer платить не охота, то есть бесплатный аналог: ammy admin. Работает сравнительно хреново, но для администрирования достаточно и бесплатен. Но все это требуется для устранения текущих проблем пользователей: Принтер подключить, документ потерялся и прочее.
Для задач администрирования существует понятие GPO, а также можно писать скрипты для запуска при включении и отключении системы.

А лучше, перечислите, что вам требуется. Тогда и посмотрим.

[kolossradosskiy]

Василий: Ammy admin - не бесплатный!
В лицензионном соглашении указано: "Каждый компьютер, участвующий в сессии удаленного доступа при коммерческом использовании должен иметь платную лицензию".
(наличие домена AD подразумевает в явном виде коммерческое использование)

[Василий]

kolossradosskiy: Оп-па, не знал. Спасибо за консультацию.