Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Запуск приложения с привилегиями администратора

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2

Открыть новую тему     Написать ответ в эту тему

Blind

Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Спустили указание назначить всем работникам на компах привилегии пользователя. Но некоторые программы полнофункционально работают только под администратором. Как сделать, чтобы заданные приложения всегда запускались с привилегиями администратора и чтоб, естественно, пароль не запрашивался и нигде в открытом виде не хранился?

Всего записей: 592 | Зарегистр. 06-10-2003 | Отправлено: 13:24 23-08-2006
AlexSSS

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
неправильный подход.
Надо не программы запускать под админом, а разобраться, почему они не работают под обычными пользователями.
Для большинства подобных программ для работы бывает достаточно дать полные права на каталог программы на уровне NTFS и дать полные права на нужные ветки реестра.

Всего записей: 747 | Зарегистр. 26-06-2004 | Отправлено: 13:29 23-08-2006
Blind

Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

Цитата:
неправильный подход.

Не спорю. Но всё же интересует возможность реализации запуска под админом.

Всего записей: 592 | Зарегистр. 06-10-2003 | Отправлено: 14:05 23-08-2006
FreemanRU



Silver Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Blind

Цитата:
пароль не запрашивался и нигде в открытом виде не хранился

НИКАК. (точка)

----------
Если не получается с первого раза - прочти инструкцию. (с)
"Откуда нам знать, что такое война, если мы не знаем мира..."(с)
Записки

Всего записей: 3799 | Зарегистр. 16-07-2004 | Отправлено: 14:17 23-08-2006
Young_Admin



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Можно поюзать AutoIT скрипт, который будет делать запуск нужной проги с помощью RunAs и подсовыванием админских данных. Компилить скрипт в exe (ставя парольную защиту при компилляции) И давать юзерам ярлыки на этот скрипт.
Итог - юзер запускает экзешник, который запускает прошку с привилегиями админа. При этом у юзера оооооооочень мало шансов узнать учётные данные админского пользователя

Всего записей: 157 | Зарегистр. 25-06-2006 | Отправлено: 14:22 23-08-2006
AlexSSS

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
запуск программы под локальным админом приведет еще и к тому, что у этой программы не будет доступа к серверным данным пользователя.
т.е. у пользователя IVANOV есть на сервере папка с его документами.
на локальном компе есть Автокад, который под обычным пользователем не запускается. Запускаем его под LocalAdmin. Прога замечательно запускается, однако доступа к папке Ivanov на сервере Иванов уже иметь не будет.  
 
>Но всё же интересует возможность реализации запуска под админом.
для некоторых инсталляторов (напр, для инсталляции некоторых ActiveX) мы тоже пользуемся AutoIT, создается EXE в котором не видно в явном виде логина/пароля локального админа. И если необходимо, запускаем его под обычным пользователем. Вариант работающий. Насколько его сложно взломать - не знаю, если будут хоть какие-то подозрения, мы просто сменим в домене пароль у учетной записи, которая является локальным админом.
 
> Но всё же интересует возможность реализации запуска под админом
а чем вызван именно такой подход?

Всего записей: 747 | Зарегистр. 26-06-2004 | Отправлено: 16:32 23-08-2006
Young_Admin



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
AlexSSS

Цитата:
 Запускаем его под LocalAdmin. Прога замечательно запускается, однако доступа к папке Ivanov на сервере Иванов уже иметь не будет.  

 
А кто мешает создать для этих целей ещё одну учётку доменного админа с оооочень криптостойким паролем и запихнуть его в AutoIT, EXEшник которого компилится тоже ооооочень криптостойким паролем?

Всего записей: 157 | Зарегистр. 25-06-2006 | Отправлено: 08:31 24-08-2006
PerpleXOR



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Тоже интересна эта тема, сейчас всех студентов пускаю под гостем. Они работают с программой Бэст-маркетинг. Я выставил разрешение доступа всем на папку программы и на какой-то файл в корне диска С. А как выставить права на ветку реестра? И опеределить, нужно их выставлять, или нет?

Всего записей: 741 | Зарегистр. 17-07-2005 | Отправлено: 08:45 24-08-2006
Young_Admin



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
PerpleXOR

Цитата:
А как выставить права на ветку реестра? И опеределить, нужно их выставлять, или нет?

Дык, помоему, на чтение реестр всем доступен. А нужно ли выставлять на запись ты сможешь определить по тому, использует ли прошка ЗАПИСЬ в ветку реестра, запистив её под админом и сравнив реестр до её работы и после.

Всего записей: 157 | Зарегистр. 25-06-2006 | Отправлено: 09:05 24-08-2006
PerpleXOR



Advanced Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Young_Admin
tnx

Всего записей: 741 | Зарегистр. 17-07-2005 | Отправлено: 09:10 24-08-2006
AlexSSS

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Young_Admin
> А кто мешает создать для этих целей ещё одну учётку доменного админа
> с оооочень криптостойким паролем и запихнуть его в AutoIT
ага, и тогда это приложение будет иметь доступ КО ВСЕМ сетевым ресурсам.
 
PerpleXOR
> А как выставить права на ветку реестра?  
Очень часто оказывается достаточным дать полный доступ к HKEY_LOCAL_MACHINE\SOFTWARE\firmname\productname
Доступ дается через REGEDIT, правая мышь на нужной ветке--> Permission
 
> И опеределить, нужно их выставлять, или нет?
Если это непомогает, тогда уже надо пользоваться Filemon, Regmon для отслеживания, куда лезет программа
 
> Тоже интересна эта тема, сейчас всех студентов пускаю под гостем.
пускай под обычным пользователем, у него минимум прав

Всего записей: 747 | Зарегистр. 26-06-2004 | Отправлено: 09:11 24-08-2006
Young_Admin



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
AlexSSS

Цитата:
ага, и тогда это приложение будет иметь доступ КО ВСЕМ сетевым ресурсам.

 
Это даа.... ну если в проге жёстко забиты все пути (например путь к БД) и нет окна выбора сетевого рессурса, то можно

Всего записей: 157 | Зарегистр. 25-06-2006 | Отправлено: 09:21 24-08-2006
AlexSSS

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Young_Admin
обычно возникает вопрос - зачем???
Зачем делать потенциальную дыру в системе, если этого же можно достич другими гораздо менее дырявыми способами

Всего записей: 747 | Зарегистр. 26-06-2004 | Отправлено: 09:34 24-08-2006
Young_Admin



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
AlexSSS
Так я же не говорю, что это единственно возможное решение. Подскажите свое. Буду рад.
Например есть прога, которая использует реестр (запись) и удалённую БД на SQL сервере.
Как дать доменному пользователю возможность работать с этой прогой?

Всего записей: 157 | Зарегистр. 25-06-2006 | Отправлено: 09:51 24-08-2006
AlexSSS

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
> Например есть прога, которая использует реестр (запись) и удалённую БД на SQL сервере.
реестр на сервере???
 
> Подскажите свое
я уже писал - искать, каких конкретно прав и где именно не хватает и там делать послабления на локальном компе (давать больше прав в реестре или на диске)

Всего записей: 747 | Зарегистр. 26-06-2004 | Отправлено: 10:25 24-08-2006
Blind

Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
AlexSSS
Цитата:
запуск программы под локальным админом приведет еще и к тому, что у этой программы не будет доступа к серверным данным пользователя.  
т.е. у пользователя IVANOV есть на сервере папка с его документами.  
на локальном компе есть Автокад, который под обычным пользователем не запускается. Запускаем его под LocalAdmin. Прога замечательно запускается, однако доступа к папке Ivanov на сервере Иванов уже иметь не будет.

Вот это как раз и не проблема. Сначала сохранит локально, потом скопирует ручками.
 

Цитата:
> Но всё же интересует возможность реализации запуска под админом  
а чем вызван именно такой подход?

А чтоб не геморроиться с отслеживанием веток реестра и т.п. для каждой новой софтины. Гораздо проще поставить прогу, кинуть к ней в папку лоадер и не париться. А лоадер можно сделать универсальный.

Всего записей: 592 | Зарегистр. 06-10-2003 | Отправлено: 10:45 24-08-2006 | Исправлено: Blind, 10:47 24-08-2006
AlexSSS

Advanced Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
> Вот это как раз и не проблема. Сначала сохранит локально, потом скопирует ручками.  
вначале скопирует ручками с сервера на локальный диск, поработает с ним, потом опять ручками запишет на сервер. Причем куда-нибудь в другую папку.
Через какое-то время поймет, что ему лишний гемор с сервером не нужен и вообще будет работать только на локальном компе.
Вообще, это называется спихиванием своих проблем или некомпетентности на пользователей.
 
> А лоадер можно сделать универсальный.  
ага, и этим универсальным лоадером обычный пользователь потом запустит любую прогу
 
> А чтоб не геморроиться с отслеживанием веток реестра и т.п. для каждой новой софтины.
Ну угробишь несколько часов на разборки с программой, зато потом все будет нормально работать. Большинство новых прог и так работает под обычным пользователем. Что не работает - обычно легко лечится даже без отслеживания, куда прога лезет.

Всего записей: 747 | Зарегистр. 26-06-2004 | Отправлено: 10:56 24-08-2006
FreemanRU



Silver Member
Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
Blind

Цитата:
А чтоб не геморроиться с отслеживанием веток реестра и т.п. для каждой новой софтины. Гораздо проще поставить прогу, кинуть к ней в папку лоадер и не париться. А лоадер можно сделать универсальный

угу, а потом кто-то это дело присикет, и начнется у тебя - то файлы пропадают, то программы появляются новые, потом закачки с инета пойдут, игрушки, а там и вирусы буду множится. Нах.
 

Цитата:
Вообще, это называется спихиванием своих проблем или некомпетентности на пользователей

+1

----------
Если не получается с первого раза - прочти инструкцию. (с)
"Откуда нам знать, что такое война, если мы не знаем мира..."(с)
Записки

Всего записей: 3799 | Зарегистр. 16-07-2004 | Отправлено: 11:05 24-08-2006
Blind

Full Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
AlexSSS

Цитата:
вначале скопирует ручками с сервера на локальный диск, поработает с ним, потом опять ручками запишет на сервер. Причем куда-нибудь в другую папку.  
Через какое-то время поймет, что ему лишний гемор с сервером не нужен и вообще будет работать только на локальном компе.  
Вообще, это называется спихиванием своих проблем или некомпетентности на пользователей.

1. Папка на сервере - исключительно для бэкапа, поэтому с сервера будут копировать редко. Возможно даже, что никогда.
2. Знаю, что некомпетентен. Я не админ, просто в силу сложившихся обстоятельств вынужден выполнять некоторые функции админа.
 

Цитата:
> А лоадер можно сделать универсальный.  
ага, и этим универсальным лоадером обычный пользователь потом запустит любую прогу
Если ничего не объяснять, то (почти) никто просто не заметит подвоха. А если и заметит, то ничего не сможет сделать, если грамотно реализовать. Большинство пользователей я вообще бы не допускал до работы с компьютером без справки о прохождении курсов компьтерной грамотности. И ещё ежегодную аттестацию бы ввёл.
 

Цитата:
> А чтоб не геморроиться с отслеживанием веток реестра и т.п. для каждой новой софтины.
 
Ну угробишь несколько часов на разборки с программой, зато потом все будет нормально работать. Большинство новых прог и так работает под обычным пользователем. Что не работает - обычно легко лечится даже без отслеживания, куда прога лезет.

Понимаю, но поскольку официально я не админ, то ищу наименее геморройный для себя способ.

Всего записей: 592 | Зарегистр. 06-10-2003 | Отправлено: 11:16 24-08-2006
Young_Admin



Junior Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
AlexSSS

Цитата:
вначале скопирует ручками с сервера на локальный диск, поработает с ним, потом опять ручками запишет на сервер. Причем куда-нибудь в другую папку.  
Через какое-то время поймет, что ему лишний гемор с сервером не нужен и вообще будет работать только на локальном компе.  
 

 
Так ведь это легко скриптом автоматизировать:
При событии: запуск программы ХХХ скопировать файл yyy.zzz на диск c:
При событии: завершение программы ХХХ скопировать файл yyy.zzz на сервер\путь

Всего записей: 157 | Зарегистр. 25-06-2006 | Отправлено: 11:17 24-08-2006
Открыть новую тему     Написать ответ в эту тему

Страницы: 1 2

Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » Запуск приложения с привилегиями администратора


Реклама на форуме Ru.Board.

Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
Modified by Ru.B0ard
© Ru.B0ard 2000-2025

BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

Рейтинг.ru