Prilivilegi di amministrazione su client di dominio

[TRUTEN]

Buondì a tutti,

Sono incappato in un altro problema e magari qualcuno riesce a darmi una mano.

Su alcuni pc dell'ufficio (tutti Windows 7) ho installato un nuovo software (suite Autodesk versione 2015) che ha richiesto i permessi di amministrazione.

Il problema nasce dal fatto che pare non esista un sistema per centralizzare gli aggiornamenti o fare il push dalle Group Policy.
Infatti c'è solo un semplice updater che parte all'avvio nei client e scarica il tutto ma ovviamente in fase di installazione si blocca dato che richiede i permessi di amministrazione.

Probabilmente la soluzione è banale ma facendo una ricerca non ho trovato molto.

Qualcuno ha suggerimenti e/o soluzioni? Grazie.

[TRUTEN]

Alla fine ho trovato una soluzione!

Con autoit è possibile creare uno script e successivamente convertirlo in un exe che è in grado di lanciare un eseguibile fornendogli i login e password.


#NoTrayIcon

Global $U = "NOMEAMMINISTRATORE"
Global $P = "PASSWORD"

RunAs($U,"NOMEDOMINIO", $P, 2, @ScriptDir & "\applicazione.exe", @ScriptDir, @SW_MINIMIZE)
Exit


Questo basta modificarlo correggendo nome utente e password di dominio e piazzare poi lo script convertito in exe direttamente nella cartella del programma.

C'è un grosso problema: se si sostituisce l'exe da lanciare penso che funzioni lo stesso ergo è un possibile exploit.
Per arginare la cosa io lo metto direttamente dentro una cartella dove l'utente standard non ha permessi (ad esempio dentro "Programmi" direttamente) altrimenti se volete qualcosa di più sicuro c'è una seconda opzione: http://www.robotronic.de/orderEnForm.php
Questo è a pagamento (parte da 40€ per 10 licenze, neanche tanto) ma consente di creare un cryptofile per ovviare a questo problema.

Voilà così facendo quei programmi sviluppati da colleghi pigri che necessitano di autorizzazioni di amministratore partiranno senza interazione da parte dell'utente. Nel mio caso si trattava di un updater quindi ho disabilitato quello standard e sbattuto il mio in autostart.

[TRUTEN]

Problema: l'exe dello script di autoit è facilmente decompilabile rendendo accessibile in chiaro le password.
Ci sarebbe l'offuscamento ma non mi pare sia ancora implementato in autoit.

Certo è che l'utente dovrebbe sarepere che è presente un collegamente di tramite tra i suoi collegamenti e l'applicazione, che si tratti di autoit ricompilato e che sappia decompilarlo.
Non è immediato ma è comunque un problema.

Mi sa che l'unica sicurezza certa è l'altra soluzione con il link criptato ma a pagamento.

[avvelenato]

Buondì a tutti,

Sono incappato in un altro problema e magari qualcuno riesce a darmi una mano.

Su alcuni pc dell'ufficio (tutti Windows 7) ho installato un nuovo software (suite Autodesk versione 2015) che ha richiesto i permessi di amministrazione.

Il problema nasce dal fatto che pare non esista un sistema per centralizzare gli aggiornamenti o fare il push dalle Group Policy.
Infatti c'è solo un semplice updater che parte all'avvio nei client e scarica il tutto ma ovviamente in fase di installazione si blocca dato che richiede i permessi di amministrazione.

Probabilmente la soluzione è banale ma facendo una ricerca non ho trovato molto.

Qualcuno ha suggerimenti e/o soluzioni? Grazie.


così, per prova, hai provato a settare le protezioni ntfs della cartella c:\programmi\%programmarognoso%\ in modifica per il gruppo users?

updater è unattended o richiede interazione? se non la richiedesse potresti avviarlo da remoto con psexec da un account amministrativo.

tipo
(for /f %i in (listapc.txt) do psexec \\%i c:\programmi\autodesk\updater.exe -unattended -altriargomenti ) >> c:\logs\log%date:~6,4%_%date:~3,2%_%date:~0,2%.txt

[TRUTEN]

Ciao,

Purtroppo è il caso peggiore perchè richiede intervento da parte dell'utente. A volte avvia anche altri setup a catena che richiedono operazioni manuali.

Ho provato a dargli i permessi di scrittura relativi alla cartella in questione (Programmi\Autodesk) ma mi da comunque errori perchè va a pescare anche altrove.
Purtroppo la suite è mastodontica (occupa 35GB di hdd) sparpaglia file, sottoprogrammi e dipendenze a iosa e non ho il minimo controllo sulla cosa.

Alla fine ho creato un amministratore locale sulla macchina e configurato lo script con autoit dandogli quelle cerdenziali così nel caso peggiore ottengono l'accesso al solo pc locale.

Chi ha suggerito la soluzione ha impostato anche uno script che in caso di login della macchina con quelle credenziali manda una mail così da sapere se eventualmente hanno fatto il decript della password.

In ogni caso psexec non lo conoscevo e sicuramente me lo guarderò appena ho un attimo.
Grazie.

[avvelenato]

già che ci sei guarda anche autoit :D

(ops, ho letto dopo che hai già usato autoit. Comunque l'ho usato assieme a psexec e diventa potentissimo.
il prossimo mio obiettivo è sviluppare un deployer tramite rdp+autoit per tutto ciò che non è installabile in maniera unattended).

[TRUTEN]

Io per centralizzare le installazioni ho scoperto PDQ Deploy.
Se hai il file del setup con questo puoi fare il push su un qualunque pc del dominio senza che sia necessario dare credenziali all'utente visto che lo fai da remoto.
Se disponibile la modalità silent nell'installer puoi usare quella oppure farselo smazzare all'utente.

Io da quando l'ho scoperto non uso altro per le installazioni ed aggiornamenti dato che è pure gratis per domini fino a 25 sistemi oltre ad essere spaventosamente facile da usare.

[avvelenato]

Io per centralizzare le installazioni ho scoperto PDQ Deploy.
Se hai il file del setup con questo puoi fare il push su un qualunque pc del dominio senza che sia necessario dare credenziali all'utente visto che lo fai da remoto.
Se disponibile la modalità silent nell'installer puoi usare quella oppure farselo smazzare all'utente.

Io da quando l'ho scoperto non uso altro per le installazioni ed aggiornamenti dato che è pure gratis per domini fino a 25 sistemi oltre ad essere spaventosamente facile da usare.

sono oltre di almeno 2 ordini di grandezza :mc: :sofico:

comunque molto ficco, grazie :D

(devo frequentare più spesso questa sezione!)

[TRUTEN]

E allora paga per la versione fica :asd:
Io sono a 15 postazioni e per me è una manna, consigliato a tutti praticamente. :D