שאלת הרשאות - יוזר שישמש להתקנות על תחנות.

[Arielvista]

שאלת הרשאות - יוזר שישמש להתקנות על תחנות.

אצלי בדומיין (WIN2008R2) מוגדר שאף יוזר לא יכול לבצע התקנות מבלי להזין סיסמת אדמין פרט ל מספר מצומצם של משתמשים שהם אדמין מקומי (אילוץ של הצרכים התפעוליים שלהם) ואצלם אין בעיה.
מידי פעם אני צריך לאפשר למשתמש כזה או אחר להתקין תוכנה כלשהי ואני לא רוצה לתת לו את סיסמת אדמין.
חשבתי ליצור משתמש שיהיו לו הרשאות מינימליות על מנת לבצע התקנה על תחנות בדומיין, מבלי להיות אדמין. יוזר כזה אני יכול לעדכן לו סיסמא בכל רגע נתון מבלי לשבש כלום.
בחיפושים שלי לא מצאתי מה הן ההרשאות המינימליות שיוזר כזה צריך.
מי יכול לסייע?

 

[F00D Is G00D]

הפתרון הנכון הוא פתרון הפצה, או משתמש חזק למי שנדרש לכך

הפתרון הנכון הוא הפצה מרוכזת (sccm, itcm, gpo, וכ'ו), ו'חנות' אפליקציות למשתמשים. הריצה של ההתקנה על המחשב היא באמצעות סרביס של פתרון ההפצה, ומערכת ההפצה מנהלת את ההרשאות של כל מה שרץ דרכה.

התקנות ספוראדיות צריכות להייות ע"י איש צוות שלך. עם משתמש ייעודי לאיש הצוות להתקנות האלו.
הרי התקנה היא בסופו של דבר פעולה שדורשת הרשאות ניהול, ולעתיים גם מעניקה לאפליקציה הרשאות שכאלו (סרביס, או דרייבר רצים עם הרשאות סיסטם לרוב)- לכן יש צורך לפקח על זה.
תיאורטית אתה ייכול ליצור קבוצה עם מספיק הרשאות להתקנות האלו (ומספיק הרשאות אומר בד"כ: program files, registry, wmi, sometimes system32 כל מני הרשאות שיש תחת secedit (וגם ב gpo). אבל בקיצור - זה כבר אדמין, ואם לא אדמין לגמרי - בוודאי מספיק בשביל לעשות elevate לאדמין.

ספציפית, הבעיה העיקרית עם ההצעה שלך זה שאין לך מושג מי עובד על היוזר הזה, ואתה לא ייכול לתחקר אחורה מי עשה בו שימוש ואיזה. וכמובן שכל פרצה שתסגור תפתח שתיים חדשות

עוד בעיה עם לתת הרשאות שכאלו למשתמש כלשהוא היא כזו,
* במקרה שאתה נותן אותה לכל המחשבים בדומיין - אז כאמור אתה נותן אותה לכל המחשבים, והבן אדם הזה מקבל גישה אל כולם.

* אם אתה נותן אותה לפי מחשב, אתה מאבד את הניהול המרכזי והשליטה. (אפשר אולי למכן את זה למשהוא קצת נשלט, אבל לא בקלות)

 

[F00D Is G00D]

במחשבה שניה - אולי פשרה

יש כלי שאני קצת מאוהב בו לאחרונה (לא בגלל שהוא כ"כ מבריק, דווקא בגלל הפשטות שלו והייכולת שלו למזער שתי בעיות די גדולות) הוא גם לא הומצא בשביל לפתור בעיה כמו זו שהצגת, אבל אולי יוכל להוריד את הסיכון והצורך ביצירת פתרון ניהול מאפס.

Laps
https://www.microsoft.com/en-us/download/details.aspx?id=46899