主页 / server / 问题 / 70484
Accepted
Tom Werner
Asked: 2009-10-02 09:09:18 +0800 CST

Windows 组策略权限疑难解答

  • 772

我被 Windows AD 域上的权限问题难住了。

我有一个 Windows Server 2008 服务器（带有几个 Windows Server 2003 vm），它们都是域的成员（但绝不是备份控制器等 - 这是通过另一台服务器处理的）。其中一些服务器需要由通常只有域用户权限的人管理，所以我创建了一个新组 (VMAdmins)，将它们添加到其中并开始构建一个特定的 GPO 以应用于机器。

出于组策略和整洁的原因，VM 位于它们自己的 OU 中，我创建了一个链接到该特定 OU 的 GPO。

我已经在计算机配置>Windows 设置>安全设置>本地策略>用户权限分配下为上述组分配了各种权限来测试理论。

我有 gpupdate /force 并退回服务器并运行 rsop.msc 以确定应用的策略。该工具正确显示在“源 GPO”下应用的 GPO，并且该组被列为具有该权限。

然而，问题的症结所在；

whoami /priv 与 rsop.msc 所说的不一致，例如 rsop 表示用户具有 Shutdown 权限，但在 whoami 下却显示“已禁用”。

谁能阐明为什么会发生这种情况？

非常感谢，

汤姆

windows

2 个回答

  1. Best Answer

    whoami /priv 显示特权的当前状态，而不是实际特权。您将使用域帐户的“管理员”看到相同的内容。当您实际执行此操作时，它会“启用”。

    一个很好的解释在这里： http ://alt.pluralsight.com/wiki/default.aspx/Keith.GuideBook/WhatIsAPrivilege.html

    从那里引用：

    可以通过示例演示特权的正常使用模式。假设您要重新启动系统。您知道这是一项特权操作，因此您访问您的进程令牌并尝试启用 SeShutdownPrivilege。如果您已被政策授予此特权，则您的令牌应该拥有它，因此您将被允许启用它。如果您没有被授予此权限，您尝试启用它将会失败，此时您需要处理不允许您重新启动系统的事实（在桌面应用程序中，您可以通知例如，她没有使用消息框的权限的用户）。假设您已成功启用该权限，您将调用 Win32 函数 ExitWindowsEx 来请求重新启动。最后，您应该禁用该权限。注意这里的模式：启用、使用、

    因为您正在重新启动系统，您可能会争辩说禁用该权限是浪费时间。但是，正如您永远不应该在不释放内存的情况下偷懒并分配内存一样，您也不应该在使用完特权后立即启用特权而不禁用它。你永远不知道谁会在另一个项目中剪切和粘贴你的代码！此外，例程如何知道重新启动将实际发生以及您的程序将实际退出？通常，用户只有在意识到需要先保存一些工作时才会启动重新启动以取消它。很难在负责实际执行重启的例程中深入了解所有这些事情。确保您的每个安全原语（如特权使用）都遵循最佳实践。不要走捷径。

    如果授予某些权限，则应始终启用它们。SeChangeNotifyPrivilege（也称为“绕过遍历检查”3）和 SeImpersonatePrivilege 是值得注意的示例。这些就像警察的手枪——他被授予在街上携带它的权利，没有它他永远不会上班。如果您被策略授予这些特权中的任何一个，操作系统将默认在您登录时获得的第一个令牌中启用它们，因此您不必担心在运行时会弄乱它们。许多 Win32 功能（但不是全部）为了方便而包含启用和禁用权限。此外，我希望随着 .NET Framework 继续抽象出更多 Win32 API，您将不必担心手动启用权限。但这是一个技术细节。安全策略仍将控制谁可以执行特权操作，谁不能执行特权操作，因此您应该了解 Windows 定义的特权，以便了解您的程序对安全策略的要求。

    • 1

  2. 是否启用了环回处理？

    您是否将安全过滤应用于正确的对象/用户/组？

    • 0

相关问题