WMI Berechtigungen

[v-rtc 92]

Hallo zusammen,

 

es gibt ja unter Windows 2008 R2 und 2012 R2 die WMI-Steuerung. Gibt es Möglichkeiten, die Berechtigungen innerhalb des WMI Namespace (z.B. DEFAULT oder CIMV2) automatisiert (GPO, etc.) zu verwalten bzw. einen separaten user hinzuzufügen und für bestimmte Punkte zu berechtigen?

Grund: Ich möchte damit erreichen, dass ein "WMI User" die benötigten WMI Klassen Remote abfragen kann. 

 

Vielen Dank.

Grüße
 

bearbeitet 20. März 2017 von RolfW

[NorbertFe 2.283]

Nur gescriptet soweit ich weiß. Per GPO nicht.

[NilsK 3.046]

Moin,

 

und wieder meine Lieblingsfrage: Was willst du denn erreichen?

 

Gruß, Nils

[v-rtc 92]

Ich möchte damit erreichen, dass ein "WMI User" die benötigten WMI Klassen Remote abfragen kann. 

bearbeitet 20. März 2017 von RolfW

[NilsK 3.046]

Moin,

 

grummel ... ja, das geht aus deiner Frage hervor. Und welches eigentliche Ziel verbirgt sich dahinter?

 

Leute, lasst euch doch nicht immer alles aus der Nase ziehen! Wie soll man euch da helfen?

 

Gruß, Nils

[v-rtc 92]

Moin,

 

für ein SAM wurde ein WMI User angelegt, der besondere Rechte im WMI Default und CIMV2 benötigt. Zudem musste der User in die lokale Gruppe DCOM oder wie sie heißt... ansonsten kann man das Ganze nur noch mit einen Skript (Task per GPO) inventarisieren, was auch nicht die beste Lösung ist...

 

Wunsch wäre natürlich ohne reboot.

 

http://www.mcseboard.de/topic/180360-domänenuser-nur-mit-wmi-rechten/

 

Das von blub klingt jetzt im Ansatz auch nicht so schlecht... denn irgendwelche Hashwerte möchte ich ungern einfach reinwürgen.

bearbeitet 21. März 2017 von RolfW

[NilsK 3.046]

Hallo Rolf,

 

Entschuldige bitte meine Ungeduld.

 

Gruß, Nils

[v-rtc 92]

Was benötigt ihr noch an Infos? Sorry für das nachlegen ?

[NilsK 3.046]

Moin,

 

wie auch die Quellen in den anderen Threads bestätigen, dürfte das Zuweisen von maßgeschneiderten WMI-Berechtigungen einen sehr hohen Aufwand erzeugen. Wenn es um eine Lizenzprüfung geht, dann ist das ja normalerweise eine einmalige Sache. Da wäre es vermutlich am effizientesten, die Abfrage über ein Tool oder über ein WMI-Skript zu erledigen, das z.B. per Startskript mit Systemrechten läuft oder das per Taskplaner lokal mit Adminrechten ausgeführt wird und die Daten an zentraler Stelle sammelt.

 

Gruß, Nils

 

EDIT: Irrtum korrigiert - bei lokaler Ausführung sind wahrscheinlich keine Admin- oder Systemrechte nötig.

bearbeitet 21. März 2017 von NilsK

[testperson 1.859]

Hi,

 

gibt es dafür nicht als "kleine" gratis Lösung das MAP Toolkit: https://technet.microsoft.com/en-us/solutionaccelerators/dd537566.aspx

 

In den FAQs steht allerdings auch drin, dass für die WMI Querys ein User mit lokalen Adminrechten benötigt wird.

 

Gruß

Jan

bearbeitet 21. März 2017 von testperson

[v-rtc 92]

Das Problem bei den Adminrechten ist, dass dies aktuell nicht gewünscht ist.

 

Vielen Dank Euch. Ich melde mich dann, was daraus geworden ist.

 

Grüße

[NilsK 3.046]

Moin,

 

daher ja meine Empfehlung, das mit einem lokal ablaufenden Skript zu erledigen. In der Hinsicht muss ich mich auch korrigieren: Für lokalen Lesezugriff reichen i.d.R. normale Userrechte aus, das würde die Anforderung also sehr wahrscheinlich erfüllen.

 

Gruß, Nils

[v-rtc 92]

Da ist das Problem, dass man einen reboot benötigt (Geplanter Task). Per Skript, entweder sich anmelden muss, oder es dann lokal manuell ausführen, was ich eigentlich umgehen wollte. Oder habe ich etwas übersehen?

[NilsK 3.046]

Moin,

 

Logonskript, dann braucht es nur eine Anmeldung, was am nächsten Tag ja vermutlich von selbst geschieht.

Und für einen Geplanten Task braucht man keinen Reboot, den kann man im laufenden Betrieb per GPP hinzufügen, wenn ich nicht irre. Logonskript ist für so eine Sache im Userkontext aber einfacher.

 

Gruß, Nils

[v-rtc 92]

Hallo Nils,

 

auf den Servern haben wir den Task erst gesehen, nachdem der Reboot durch war. Falls es da noch was gibt, sehr gerne.

Das mit dem Logon Skript ist mir noch nicht ganz klar, sofern sich am Server in der Regel keiner anmeldet, läuft das nicht, richtig?

Danke!

Grüße