[..] Droit Administrateur temporaire.

[Cityzen]

Bonjour tout le monde,

J'aurais souhaité tenté un petit quelque chose au niveau des droits administrateur dans une session en cours.

Je m'explique :
- Donner les droits Admin local à un utilisateur pendant un certain, (2 heures, renouvelable 1 heures par popup) et au bout de se laps de temps proposer a l'utilisateur de fermer sa session et de la ré-ouvrir.

Je pense que cela doit être assez simple mais étant débutant je sais pas du tout ce qu'il faut ou ne pas faire.

D'avance merci, pour vôtre aide.

[timmalos]

Si vous savez comment donner un droit administrateur à une session en cours, le reste ca sera facile (tellement simple que même Tlem y arriverait [@Tlem Depuis le temps que j'etais absent ca t'as manqué je pari]) mais perso je n'ai aucune idée de comment faire, et sur le coup je vous dirais bien que ce n'est pas possible mais tellement de choses m’impressionnent que pourquoi pas y'a des gens bcp plus calés qui pourront vous dire ca.

[sksbir]

Bonjour tout le monde,
....et au bout de se laps de temps proposer a l'utilisateur de fermer sa session et de la ré-ouvrir...

Ce qui sous-entendrait qu'il s'agit de donner un droit administrateur à une session déjà en cours.
Or ceci ne me semble pas possible.

En plus, si on respecte le postulat de départ, c'est un énorme trou de sécurité : l'utilisateur ayant tous les droits d'administration a donc celui de tuer le processus qui va lui demander si il veut conserver les droits, ce qui lui permettra de conserver les droits sans limite de temps...

Par contre, autoit permet assez facilement de lancer un autre programme avec des droits spécifiques ( voir runas / runaswait )
Donc, il faudrait creuser un peu l'énoncé : l'utilisateur est censé faire quoi au juste avec son droit d'administration ?

[Uranium]

Code : Tout sélectionner

If Not IsAdmin() Then
        ShellExecute(@ScriptName, "", "", "runas")
        Exit
Else
        Sleep(7200000)
        $M = MsgBox(4,'Choisis ..','Voulez vous utilisez votre session de 1 heure supplémentaire ?')
        If $M = 6 Then 
        Sleep(3600000)
        Shutdown(5)
        Else
        Shutdown(5)
         EndIf
    EndIf
 

?

Si j'ai bien compris et si cela vous plaît.

Cordialement ,

[jguinch]

Salut
Comme l'a dit sksbir, la fermeture puis l'ouverture de session semble incontournable...
Pour que l'ajout du compte utilisateur dans le groupe Administrateurs local prenne effet, il faudra fermer puis ouvrir une session, idem pour supprimer le compte du groupe...

Si des fermetures de session sont envisageables, c'est possible. Sinon ......
Il faudra que le script s'exécute avec les droits suffisants pour ajouter un utilisateur dans un groupe...

Donc avant d'aller plus loin, quelques questions :
- le ou les postes sont ils membres d'un domaine Active Directory ? Si oui, il est peut être possible de s'appuyer sur les GPO/GPP (si contrôleur en 2008R2) qui permettent d'ajouter un compte du domaine dans un groupe local (en fonction de critères)
- disposes-tu d'un compte admin identique sur toutes les machines (ou d'un compte admin du domaine) ?

Autre question, car je ne suis pas sûr d'avoir tout saisi : est-ce que c'est l'utilisateur lui-même qui va décider qu'il devient Administrateur ? Par quel moyen ? Une fenêtre ouverte en permanence du genre "Je veux être/ne plus être administrateur" ?

C'est vrai qu'on aurait besoin de connaître le but final...

[Cityzen]

Hello tous le monde,

Le but est de pouvoir donner temporairement les droit administrateur aux utilisateur qui auraient besoin d'installer un programme.

Informations demandés :
- Les postes sont tous membre de l'active directory mais on des comptes admin générer à partir du poste, donc aucun est identique. (Sécurité )
- Nous avons un compte Admin du domaine de manière à pouvoir les gérer.

Les utilisateurs prendrons eux même la décision de se mettre en Admin, mais que pour un moment, le temps d'installé un programme etc... ou d’exécuter une tache nécessitant ses droits.
Les droits administrateurs ne exécuteraient bien sur qu'à la demande de l'utilisateur et en étant conscient qu'il faut bien entendu fermer et rouvrir la session, idem pour l’enlèvement des droits.

Merci à tous de m'avoir donné du temps.

[timmalos]

Donc n'importe quelle personne extérieure arrive et passe administrateur du poste?


Pourquoi ne pas simplement leur proposer un outil compilé qu'ils peuvent ouvrir et ils donnent un executable en parametre ou via GUI , et celui ci se charge de faire un RunAs() en mode administrateur ?

[Cityzen]

En effet, je n'avais pas envisager ce cas de figure...

Dans ce cas oui, le mieux serait de proposer d’exécuter un soft ou une tache en étant admin jusqu’à la fin de celle ci.

Mais pour mes connaissances personnelles j'aurais bien envie de voir comment cela peut être fait .

[ani]

y a cette soluce pour l'elevation d'un script.
shellexecute("tonscript","","","runas")

mais comme je vous l'ai déjà dit, avez vous visionner la partie de l'include security ? regardez du côté privilege token.
le script sera en admin pas besoin de l'utilisateur courant (quelque soit son grade)

Startupinfo, privilegeToken ect.
Ceux-ci est utilisé par bcp de programme.

[Cityzen]

Je suis en train de regarder mais j'avoue ne pas tous saisir...