Удаленное создание процесса с использованием WMI и Win32_Process

Question

Я пытаюсь ускорить процесс на удаленной машине с веб-сайта.Когда пользователь нажимает определенную кнопку на веб-сайте, мне нужно запустить PowerShell на удаленном компьютере.

Я использую System.Management из C # для подключения к удаленному компьютеру и создания объекта Win32_Process.Все это прекрасно работает между двумя виртуальными машинами, когда я раскручиваю сайт под своей учетной записью домена в Visual Studio и нажимаю кнопку.Я нахожусь в группе администраторов на обеих виртуальных машинах, и я вижу, что скрипт должным образом запускается на удаленной виртуальной машине.

Я развернул сайт в среде тестирования системы, и теперь сайт работает под учетной записью службы.это не администратор на веб-сервере или в удаленном окне, где находится мой тестовый скрипт PowerShell.

Я дал учетной записи, выполняющей пул приложений, связанный с веб-сайтом, следующие права на удаленной виртуальной машине:- полные разрешения для ROOT \ CIMV2 в WMI и всех вложенных пространствах имен - полные разрешения DCOM

На удаленной виртуальной машине не работает брандмауэр.

Я в основном следовал следующей статье:

http://msdn.microsoft.com/en-us/library/aa393266.aspx

Я также пытался добавить учетную запись, на которой работает сайт, в группу администраторов на обеих виртуальных машинах, но безрезультатно.Когда это не работает, я не знаю, куда идти дальше!

У кого-нибудь есть опыт такого рода проблем?

Большое спасибо

Крис

Answer 1

Попробуйте использовать олицетворение для подключения к удаленному компьютеру с правами администратора.Вот класс, который я создал для программного подражания:

using System;
using System.Security.Principal;
using System.Diagnostics;
using System.Runtime.InteropServices;

/// <summary> 
/// Leverages the Windows API (advapi32.dll) to programmatically impersonate a user. 
/// </summary> 
public class ImpersonationContext : IDisposable 
{ 
    #region constants 

    private const int LOGON32_LOGON_INTERACTIVE = 2; 
    private const int LOGON32_PROVIDER_DEFAULT = 0; 

    #endregion 

    #region global variables 

    private WindowsImpersonationContext impersonationContext; 
    private bool impersonating; 

    #endregion 

    #region unmanaged code 

    [DllImport("advapi32.dll")] 
    private static extern int LogonUserA(String lpszUserName, String lpszDomain, String lpszPassword, int dwLogonType, int dwLogonProvider, ref IntPtr phToken); 

    [DllImport("advapi32.dll", CharSet = CharSet.Auto, SetLastError = true)] 
    private static extern int DuplicateToken(IntPtr hToken, int impersonationLevel, ref IntPtr hNewToken); 

    [DllImport("advapi32.dll", CharSet = CharSet.Auto, SetLastError = true)] 
    private static extern bool RevertToSelf(); 

    [DllImport("kernel32.dll", CharSet = CharSet.Auto)] 
    private static extern bool CloseHandle(IntPtr handle); 

    #endregion 

    #region constructors 

    public ImpersonationContext() 
    { 
        impersonating = false; 
    } 

    /// <summary> 
    /// Overloaded constructor and begins impersonating. 
    /// </summary> 
    public ImpersonationContext(string userName, string password, string domain) 
    { 
        this.BeginImpersonationContext(userName, password, domain); 
    } 

    #endregion 

    #region impersonation methods 

    /// <summary> 
    /// Begins the impersonation context for the specified user. 
    /// </summary> 
    /// <remarks>Don't call this method if you used the overloaded constructor.</remarks> 
    public void BeginImpersonationContext(string userName, string password, string domain) 
    { 
        //initialize token and duplicate variables 
        IntPtr token = IntPtr.Zero; 
        IntPtr tokenDuplicate = IntPtr.Zero; 

        if (RevertToSelf()) 
        { 
            if (LogonUserA(userName, domain, password, LOGON32_LOGON_INTERACTIVE, LOGON32_PROVIDER_DEFAULT, ref token) != 0) 
            { 
                if (DuplicateToken(token, 2, ref tokenDuplicate) != 0) 
                { 
                    using (WindowsIdentity tempWindowsIdentity = new WindowsIdentity(tokenDuplicate)) 
                    { 
                        //begin the impersonation context and mark impersonating true 
                        impersonationContext = tempWindowsIdentity.Impersonate(); 
                        impersonating = true; 
                    } 
                } 
            } 
        } 

        //close the handle to the account token 
        if (token != IntPtr.Zero) 
            CloseHandle(token); 

        //close the handle to the duplicated account token 
        if (tokenDuplicate != IntPtr.Zero) 
            CloseHandle(tokenDuplicate); 
    } 

    /// <summary> 
    /// Ends the current impersonation context. 
    /// </summary> 
    public void EndImpersonationContext() 
    { 
        //if the context exists undo it and dispose of the object 
        if (impersonationContext != null) 
        { 
            //end the impersonation context and dispose of the object 
            impersonationContext.Undo(); 
            impersonationContext.Dispose(); 
        } 

        //mark the impersonation flag false 
        impersonating = false; 
    } 

    #endregion 

    #region properties 

    /// <summary> 
    /// Gets a value indicating whether the impersonation is currently active. 
    /// </summary> 
    public bool Impersonating 
    { 
        get 
        { 
            return impersonating; 
        } 
    } 

    #endregion 

    #region IDisposable implementation 

    ~ImpersonationContext() 
    { 
        Dispose(false); 
    } 

    public void Dispose() 
    { 
        Dispose(true);                
    } 

    protected virtual void Dispose(bool disposing) 
    { 
        if (disposing) 
        { 
            if (impersonationContext != null) 
            { 
                impersonationContext.Undo(); 
                impersonationContext.Dispose(); 
            } 
        } 
    } 

    #endregion     
} 

Answer 2

Большое спасибо за код. Мне может понадобиться решение проблемы сейчас, когда я знаю, что происходит!

Оказывается, проблема в Kerberos. Я обнаружил, что если я захожу в IIS Manager локально и «просматриваю» веб-страницу, удаленный вызов WMI работает. Веб-сайт настроен для олицетворения подключенного пользователя, и если я подключаюсь локально, токен аутентификации передается на удаленный компьютер, и все работает.

Если я подключаюсь извне веб-сервера, токен, предоставленный веб-сайту IIS, в настоящее время не может быть передан, поскольку веб-сервер не зарегистрирован в Kerberos. (Я передаю то, что мне недавно здесь сказали. Мне нужно лучше понять это, чтобы окончательно решить проблему.)

Я думаю, что решение здесь состоит не в том, чтобы передать токен подключенного пользователя, а в том, чтобы программно отключить олицетворение для вызова WMI и выполнить его как учетную запись, под которой работает пул приложений. Я уверен, что смогу найти способ сделать это с помощью быстрого поиска.

Спасибо за вашу помощь