Batch-Script als Admin ausführen

[murat1895]

Guten Tag,

folgendes Problem:

Wir haben einen User der ein Batch-Script aus führen soll. Der Benutzer kommt über sein Benutzerkonto. Das Batch-Script benötigt allerdings Rechte des Administrators. Wir wollen allerdings nicht das Kennwort des Admins in irgendwelchen Skripten hinterlegen.

Gibt es für solche Probleme eine gute Lösung?

[Crash2001]

Leider schreibst du nicht, unter welchem Betriebssystem dies laufen soll. Ich gehe aber einmal von Windows aus.

Berechtigungstechnisch kann man es unter Windows meine ich nicht konfigurieren, dass eine Datei ausgeführt, aber nicht gelesen werden kann, da sie um ausgeführt zu werden ja logischerweise gelesen werden muss. Unter Linux wäre sowas afaik möglich.

Eine Möglichkeit wäre, die Batch-datei zu verschlüsseln.

Das geht z.B. so.

 

[Gast Youkai]

ggf runasspc mal testen ?

[DTJN]

Muss er es selbst proaktiv zeitlich flexibel ausführen? 

Ansonsten würde ich das ganze über GPO als Scheduled Task laufen lassen.

Bearbeitet 26. August 2016 von DTJN

[n00b-it]

Ich stand jetzt vor dem selben Problem. Habe es mit PsExec gelöst, allerdings steht das das Passwort mit in dem Script.

Vielleicht kann man das aber irgendwie modifizieren damit es bsp. verschlüsselt irgendwo hinterlegt ist.

[pantsoff]

Mit "secure-strings" in powerShell kannst du das clear-type PW umgehen.

[SilentDemise]

nein

[n00b-it]

Du kannst das vorher mit der PowerShell verschlüsseln und dann im Script verschlüsselt nutzen. Mal sehen ob ich das Beispiel noch mal finde

https://www.krausmueller.de/de/passwoerter-in-powershell

Bearbeitet 30. August 2016 von big-bang27

[SilentDemise]

Du weißt aber, was die DPAPI ist und wie sie funktioniert?

Nein, keine Lösung für das Problem.

[n00b-it]

Hatte in der Zeile:

Zitat

Aus diesem Grund ist das verschlüsselte Passwort immer nur für den bei der Erstellung verwendeten Benutzer und Host gültig. 

das "und Host" überlesen 
Wobei ich aber auch eine etwas andere Seite gefunden hatte, als die die ich gepostet habe. Ich finde die nur nicht mehr. 

Aber in Kombination mit dem Key, der in dem Link angesprochen wird, sollte das doch gehen oder nicht?

[pantsoff]

vor 18 Stunden schrieb SilentDemise:

nein

[pantsoff]

http://www.adminarsenal.com/admin-arsenal-blog/secure-password-with-powershell-encrypting-credentials-part-2/

[Thanks-and-Goodbye]

Am 26.8.2016 um 08:37 schrieb murat1895:

Gibt es für solche Probleme eine gute Lösung?

Ja, ganz einfach: überlegen, welches Ziel denn erreicht werden soll. Offensichtlich ist Batch hier der falsche Weg.