PsExec и Windows Server 2008: привилегии и проблемы с аутентификацией

Question

Я пишу приложение, которое помогает мне автоматически развертывать приложения на компьютерах с Windows Server 2008. Помимо этого процесса, мне нужно удаленно запускать и останавливать веб-сайты IIS на серверах 2008 года с моей тестовой машины.

Из комплекта моей машины 2008 года я использую:

C:\Windows\System32\inetsrv\appcmd.exe stop site "MyWebsite"

Эта команда НЕ работает, если я просто запускаю ее из командной строки. Возвращенная ошибка:

ОШИБКА (сообщение: служба W3SVC недоступна - попробуйте сначала запустить службу.)

Однако это работает, если я использую командную строку через «Запуск от имени администратора». Это хорошо, но мне нужно иметь возможность запустить это с другой машины. Используя учетную запись домена (которая считается администратором), моя команда PsExec становится следующей с точки зрения моей тестовой (не 2008) машины:

"C:\Program Files\PSTools\psexec.exe" \\my2008machine -u domainuser -p password C:\Windows\System32\inetsrv\appcmd.exe stop site "MyWebsite"

PsExec запускается, запускается и завершает работу с той же ошибкой, как показано выше: точно так же, как если бы я запускал эту команду из командной строки -without- «Запуск от имени администратора» на моем компьютере 2008 года.

Брандмауэр Windows выключен, я установил LocalAccountTokenFilterPolicy, как это предлагается в другом месте, и у меня нет идей. Любая идея, как это исправить или обойти это?

Answer 1

Я столкнулся с подобной проблемой, пытаясь выполнить msiexec локальный пакет установки без вывода сообщений (вернул код ошибки 1603) и смог обойти его с флагом -h . Из справки:

Если целевой системой является Vista или выше, процесс запущен с повышенный токен аккаунта, если имеется.

Использование PsExec v1.98. Целевой сервер - это чистая установка Server 2008 R2 с включенным UAC и брандмауэром.

Answer 2

Эта проблема была решена при переходе между компьютерами в одном домене с использованием учетной записи администратора домена (с 2003 R2 -> 2008 R2).Это было достигнуто путем изменения параметров контроля учетных записей в разделе Локальная политика безопасности -> Локальные политики -> Параметры безопасности.Я полагаю, что это был параметр «Запустить всех администраторов в режиме одобрения администратором», и он требовал перезагрузки.

Однако при пересечении границы домена все еще остается нерешенная проблема: использование одного и того же пользователя-администратора домена и ориентация на него.Сервер 2008 R2, PsExec возвращает ошибку «Отказано в доступе».