Exécuter script en admin avec compte standard W10 [Résolu/Fermé]

Le script est conçu depuis PS ISE et mit en exécutable a l'aide de callps2exe. Le langage c'est du powershell.

Il est possible d’exécuter des commandes sans droits d'administrateurs il me semble si vous passez par des requêtes WMI.

Quel sont les actions que vous souhaitez réaliser (donnez un exemple pas forcement l'intégralité) ?

Par exemple Get-LocalGroupMember ou ([ADSI]"WinNT://$pcname/Administrateurs,group").remove("WinNT://$domaine/$user")

D'accord avez-vous tentez d’exécuter les commandes en remote ?

C'est a dire à distance ? Le problème serais que tous les utilisateurs n'ont pas forcement leurs poste ouvert au moment du lancement du script à distance, donc tous les utilisateurs ayant des droits mais ne devant pas les avoirs de serait pas forcement supprimer des administrateur. C'est pour cela que si cela était possible depuis chaque poste cela éviterai ce genre de problème

C'est un script qui doit être exécuter régulièrement ou simplement 1 seul fois ?

C'est un script qui vérifie à chaque lancement de session si l'utilisateur à les droits administrateurs, si il les a, il y a une vérification sur une liste de personne, et si la personne n'ai pas situé dans la liste, l'utilisateur se fait retirer les droits.

Dans un environnement Active Directory il est possible de déployer des scripts via le profil des utilisateurs.

C'est possiblement une question un peu bête mais quel est l'intérêt d'un tel script ? et qu'entendez-vous par vérifiier dans la "liste" ? De quel liste parlez-vous ?

D'accord je comprend mieux, non pas que j'essai de contourner le problème mais j'essai d'éclaircir certain point.

Pourquoi ne pas utiliser les groupes AD pour donner les droits à certain utilisateurs sur des applications ou même des sessions ? Il suffira de retirer l'utilisateur du groupe pour lui enlever les droits

Le module AD n'est pas installé sur les postes et nous n'avons pas le droit de l'installer, l'administration ne le veut pas, et de plus installer le module sur tous les postes serai un travail qui nous prendrait beaucoup de temps

Vous voulez dire que vos utilisateurs ne se connecte pas avec un compte AD mais avec un compte local ?

Non je veux dire que les utilisateurs se connecte avec un compte serveur mais que le module PowerShell Active Directory n'est pas activé sur les ordinateurs. Donc les commandes PS AD ne sont pas utilisable

Mais si vous utilisez des groupes AD, même si le module AD powershell n'est pas installé les droits s'appliqueront tout de même

Oui mais la suppression des droits ne peut pas être faite depuis le script.

Pouvez-vous m'expliquer un peu plus ce que vous voulez dire s'il vous plait ? (Je suis stagiaire, et je n'ai pas encore toutes les compétences nécessaire)

Si le module AD doit être installé alors déployez un script qui installe ce module via une GPO par exemple. Je pense que le module AD peut être installé par un utilisateur si je ne me trompe pas

Je vais voir ce que je peux faire avec mes supérieurs, mais je doute de leurs envie d'installer AD :/

Sinon vous ne connaîtriez pas un moyen de lancer un script en administrateur depuis un compte lambda ?

Et bien malheureusement je ne pense pas que se soit possible, c'est bien ça la différence entre administrateur et utilisateur.

Si c'était possible alors la sécurité de tout les postes en entreprise seraient compromis.

Je viens d'avoir une possible idée mais ce n'est pas sécurisé, c'est à dire que l'on peut avec powershell executer un script "en tant que", il faut donc saisir le login et mot de passe d'un compte mais celui-ci est en claire.

Je crois qu'il existe un moyen de crypter ce mdp pour éviter qu'il soit en claire.

Désolé si mes réponses sont aussi vague mais je n'ai jamais réalisé un script de la sorte, j'essai simplement de vous apportez une solution

Après vous n’installer pas vraiment l'AD sur les postes, ce n'est qu'un module d'administration AD, mais vu que les utilisateurs n'ont pas les droits sur l'AD, je crains qu'il ne puissent pas faire grand chose avec.

Tout d'abord je vous remercie de m'avoir consacré du temps pour essayer de résoudre mon problème.

Je trouve dommage que Windows 10 ne permet pas des solutions sécurisé pour autorisé certaines actions comme windows 7.

J'y ai pensé aussi, et je pense que si le mot de passe pouvait etre stocké dans une base de données puis récupérer ce serais surement plus sécurisé. Mais la question que je me pose est, est-ce que le script est lancé sur la session de l'utilisateur ou bien de l'administrateur ou les identifiants ont été entré ?

Le script s’exécutera sur le poste client, selon les paramètres de votre script, si vous avez spécifier quelque part "Localhost" celui-ci devrait donc s’exécuter sur le poste de l'utilisateur mais il le fera au nom de l'administrateur renseigné.

C'est à dire que lorsque vous souhaitez exécuter un programme en tant qu'administrateur une fenêtre s'ouvre avec login et mdp d'un compte administrateur et bien la commande powershell va permettre de passer cette étape là en renseigner le compte et le mdp administrateur.

Je ne sais pas si mon explication est claire et explicite...

J'ai bien compris votre explication, le problème que je vais rencontrer et qu'il faut que je trouve un moyen de récupérer le nom d'utilisateur, et non pas celui de l'administrateur

Alors nous nous sommes mal compris lol Votre compte administrateur servira simplement à autoriser que le script s’exécute

Je viens de réaliser des test et lorsque je récupère le $env:username par exemple cela me donne celui de l'administrateur et non pas de l'utilisateur.

Ha.. Je sais qu'il existe des commandes que l'on peut ajouter un un executable powershell, je parle bien dans .exe

Dans les propriétés du fichier vous avez le "chemin cible"

je sais que j'utilise ces 2 commandes supplémentaires pour améliorer l'execution

-executionpolicy Bypass -Windowstyle Hidden

Peut être en existe-il une qui permet de bypasser le compte administrateur ..

Je vais me renseigner ça sujet, merci beaucoup de m'avoir consacré votre temps je vais mettre en tant que résolue Merci !
Finalement je vais utiliser -Credential en générant un fichier temporaire avec les données users et le credential je vais regarder pour récupérer les ids depuis une bdd

J'espère vous avoir aidé !

Oui, vous m'avez permit de mettre au point certaines idées et de les développer merci beaucoup!