PS скрипт не выполняет 7z команды когда запускается через GPO. Если но просто запустить то все норм. Почему такое может быть?

Question

[Илья лук]

Пользователь под которым запускается скрипт одинаковый. Местоположение скрипта тоже.
В чем проблема может быть и как исправить?

cd C:\
echo testtesttest > D:\111111111113.txt
\\dc\soft\7zip\7zG.exe 'a' ,"D:\123.7z",'-r','C:\Users\user\test'

Comments

[MaxKozlov]

А где логи ?

[Илья лук]

MaxKozlov, А я нуб я их снимать не умею.

[MaxKozlov]

Илья лук,

echo testtesttest > D:\111111111113.txt

вот пример логов :)

так что на 7z можно тоже было сделать так и увидеть. то что АртемЪ озвучил

Answer 1

[ComodoHacker]

Добавить логирование и увидеть ошибку. Что может быть проще?

Comments

[Илья лук]

кусок кода с перенаправлением.

\\dc\soft\7zip\7zG.exe 'a' ,"D:\123.7z",'-r','C:\Users\user\test' > D:\out.txt
\\dc\soft\7zip\7zG.exe 'a' ,"D:\777.7z",'-r','C:\Users\user\Downloads' 2> D:\errOUT.txt

Ну вот так сделал два пустых файла он создал и все.

[ComodoHacker]

Илья лук, 7zG.exe это GUI версия. Нужно использовать 7z.exe.

Answer 2

[АртемЪ]

Прав наверное нет.
Через GPO там пользователь какой? Скорее всего доступа к сети нет.

Comments

[Илья лук]

систем там.
На локальной машине тоже систем.

[АртемЪ]

Илья лук, О чем я и толкую.
Пользователь систем доступа к сети не имеет. А у вас там сетевой ресурс.

[MaxKozlov]

Илья лук, на каждой машине SYSTEM свой, фактически в домене это олицетворение MACHINENAME$ и потенциально ему можно права раздавать

[Илья лук]

АртемЪ, так имеет же.
Я когда из консоли в ручную скрипт запускаю он выполняется нормально. Тоесть права есть.
MaxKozlov, да я так и сделал.

[MaxKozlov]

Илья лук, когда ты запускаешь скрипт из консоли - его права как у твоего юзера.
когда он запускается твоим компом из под system, его права как у твоего компа.
компы в Domain Users не входят.
Добавь WHOAMI /ALL >log.txt в скрипт и внимательно изучи разницу

[Илья лук]

MaxKozlov,

WHOAMI /ALL >log.txt в скрипт и внимательно изучи разницу

я так делал. Одинаково все было. Вроде.
Могу еще раз глянуть конечно вдруг что напутал.

[АртемЪ]

Илья лук,

так имеет же.
Я когда из консоли в ручную скрипт запускаю он выполняется нормально. Тоесть права есть.

Когда вы из консоли запускаете - то пользователь не система, а вы - под каким залогинились, под тем и запускается.

[Илья лук]

MaxKozlov, АртемЪ, Ну незнаю у меня написано что система.

[MaxKozlov]

Илья лук, вместо скриншотов можно было текст написать.. ну ок (хотя я предлагал сравнить запуск из ком строки и из GPO, и с /ALL)

а права на шару (\\dc\soft\7zip\) какие ?
как на объект share, так и ntfs ?

а перенаправление запуска в файл сделать ? как в ещё в начале в комментарии к вопросу написал

[Илья лук]

MaxKozlov,

whoami из консоли

Сведения о пользователе
----------------

Пользователь SID
==================== ========
nt authority\система S-1-5-18

Сведения о группах
-----------------

Группа Тип SID Атрибуты
=============================================== ======================= ============ =============================================================
BUILTIN\Администраторы Псевдоним S-1-5-32-544 Включены по умолчанию, Включенная группа, Владелец группы
Все Хорошо известная группа S-1-1-0 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Прошедшие проверку Хорошо известная группа S-1-5-11 Обязательная группа, Включены по умолчанию, Включенная группа
Обязательная метка\Обязательный уровень системы Метка S-1-16-16384

Сведения о привилегиях
----------------------

Имя привилегии Описание Область, край
=============================== =========================================== =============
SeAssignPrimaryTokenPrivilege Замена маркера уровня процесса Отключен
SeLockMemoryPrivilege Блокировка страниц в памяти включен
SeIncreaseQuotaPrivilege Настройка квот памяти для процесса Отключен
SeTcbPrivilege Работа в режиме операционной системы включен
SeSecurityPrivilege Управление аудитом и журналом безопасности Отключен
SeTakeOwnershipPrivilege Смена владельцев файлов и других объектов Отключен
SeLoadDriverPrivilege Загрузка и выгрузка драйверов устройств Отключен
SeSystemProfilePrivilege Профилирование производительности системы включен
SeSystemtimePrivilege Изменение системного времени Отключен
SeProfileSingleProcessPrivilege Профилирование одного процесса включен
SeIncreaseBasePriorityPrivilege Увеличение приоритета выполнения включен
SeCreatePagefilePrivilege Создание файла подкачки включен
SeCreatePermanentPrivilege Создание постоянных общих объектов включен
SeBackupPrivilege Архивация файлов и каталогов Отключен
SeRestorePrivilege Восстановление файлов и каталогов Отключен
SeShutdownPrivilege Завершение работы системы Отключен
SeDebugPrivilege Отладка программ включен
SeAuditPrivilege Создание аудитов безопасности включен
SeSystemEnvironmentPrivilege Изменение параметров среды изготовителя Отключен
SeChangeNotifyPrivilege Обход перекрестной проверки включен
SeUndockPrivilege Отключение компьютера от стыковочного узла Отключен
SeManageVolumePrivilege Выполнение задач по обслуживанию томов Отключен
SeImpersonatePrivilege Имитация клиента после проверки подлинности включен
SeCreateGlobalPrivilege Создание глобальных объектов включен
SeIncreaseWorkingSetPrivilege Увеличение рабочего набора процесса включен
SeTimeZonePrivilege Изменение часового пояса включен
SeCreateSymbolicLinkPrivilege Создание символических ссылок включен

whoami с GPO

Сведения о пользователе
----------------

Пользователь SID
==================== ========
nt authority\система S-1-5-18

Сведения о группах
-----------------

Группа Тип SID Атрибуты
=============================================== ======================= ============ =============================================================
BUILTIN\Администраторы Псевдоним S-1-5-32-544 Включены по умолчанию, Включенная группа, Владелец группы
Все Хорошо известная группа S-1-1-0 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Прошедшие проверку Хорошо известная группа S-1-5-11 Обязательная группа, Включены по умолчанию, Включенная группа
Обязательная метка\Обязательный уровень системы Метка S-1-16-16384

Сведения о привилегиях
----------------------

Имя привилегии Описание Область, край
============================= =========================================== =============
SeAssignPrimaryTokenPrivilege Замена маркера уровня процесса Отключен
SeIncreaseQuotaPrivilege Настройка квот памяти для процесса Отключен
SeTcbPrivilege Работа в режиме операционной системы включен
SeSecurityPrivilege Управление аудитом и журналом безопасности Отключен
SeTakeOwnershipPrivilege Смена владельцев файлов и других объектов Отключен
SeLoadDriverPrivilege Загрузка и выгрузка драйверов устройств Отключен
SeCreatePermanentPrivilege Создание постоянных общих объектов включен
SeBackupPrivilege Архивация файлов и каталогов Отключен
SeRestorePrivilege Восстановление файлов и каталогов Отключен
SeShutdownPrivilege Завершение работы системы Отключен
SeChangeNotifyPrivilege Обход перекрестной проверки включен
SeImpersonatePrivilege Имитация клиента после проверки подлинности включен

Права
На шару: Администратор, Администраторы, Компьютеры домена.
ntfs: система Администратор, компьютеры домена, администраторы.
PS скрипт c GPO писать в шару может.

кусок кода с перенаправлением.

\\dc\soft\7zip\7zG.exe 'a' ,"D:\123.7z",'-r','C:\Users\user\test' > D:\out.txt
\\dc\soft\7zip\7zG.exe 'a' ,"D:\777.7z",'-r','C:\Users\user\Downloads' 2> D:\errOUT.txt

Создается два пустых файла. И все.

[MaxKozlov]

Илья лук,
чтобы протоколировать ошибки надо ещё 2>&1 добавить в команду
7z ... 2>&1 >...
может оно с сети какие-то dll себе ищет ? вообще зачем гуи ? может оно на экране рисовать хочет
7za лучше использовать - там всё статикой слинковано

[Илья лук]

MaxKozlov, А 7z и 7za это одно и тоже? Если нет то где можно 7za найти?

[MaxKozlov]

https://www.7-zip.org/download.html
7-Zip Extra: standalone console version

можно и просто 7z.exe попробовать, без G

[Илья лук]

MaxKozlov, Пасибо)