AD - Разрешение запуска некоторого ПО с правами администратора

[fractal90]

Ребят подскажите, как правильно разрешать пользователю запускать 2 программки (написаны на делфи) запускаться с правами администратора? эти программы периодически хотят обновляться и им нужны права админа для этого. Или же посадить определенную группу пользователей домена в группу "опытные пользователи" на локальном ПК?

[ko4evneg]

Ребят подскажите, как правильно разрешать пользователю запускать 2 программки (написаны на делфи) запускаться с правами администратора? эти программы периодически хотят обновляться и им нужны права админа для этого. Или же посадить определенную группу пользователей домена в группу "опытные пользователи" на локальном ПК? »
Сделайте задачи в планировщике, которые будут запускать эти программы с наивысшими правами. Опытные пользователи начиная с Vista никаких отличий от обычных пользователей не имеют.

[Trouble_Maker]

Создать на локальном компьютере учетную запись, с правами локального администратора, например ProgramAdmins. Добавить на рабочий стол батничек:
runas /noprofile /savecred /user:Имя ПК\ProgramAdmins notepad.exe (запустит блокнот от пользователя ProgramAdmins, который в свое время будет в локальных администраторах), ввести пароль от этой учетки.
Но учтите,если этот софт позволяет запускать другие приложения, он будет выполнен в контексте локального администратора.

[Iska]

Но учтите,если этот софт позволяет запускать другие приложения, он будет выполнен в контексте локального администратора. »
При сохранённых учётных данных администратора — совершенно без разницы, позволяет или не позволяет.

[r00tkid]

Есть бесплатная утилита - AdmiLink. Может она подойдёт?

[alef2474]

ввести пароль от этой учетки »

Т.е. пользователям надо давать админский пароль, чтоб они запускали чего захотят, вирусы в том числе.
Есть бесплатная утилита - AdmiLink »

Без Admilink не обойтись, потому что она скрывает админский пароль.

[Iska]

Угу. «AdmiLink» всяко лучше «runas» с сохранёнными учётными данными администратора.

Вот как раз именно в случае «AdmiLink» имеет смысл говорить про:
Но учтите,если этот софт позволяет запускать другие приложения, он будет выполнен в контексте локального администратора. »
Дело в том, что любое приложение со стандартным окном Save/Open это позволит сделать.

[fractal90]

а через групповые политики на сервере это можно сделать?
обновы проги могут выйти в любой момент и приходится их сразу ставить, потому что если клиент не обновится, то в базу его не пускает. это проприетарное по организации.

либо может есть такое - на сервере в групповых политиках задать путь программы на пользовательской машине и как либо дать права этой программе? или это из области фантастики?)

пользователей в домене которым это нужно около 70

[Iska]

fractal90, так и хочется посоветовать — меняйте тогда к чертям производителя такого чуда, который до сих пор живёт во временах Windows 98.

[fractal90]

fractal90, так и хочется посоветовать — меняйте тогда к чертям производителя такого чуда, который до сих пор живёт во временах Windows 98. »

это программа разработка компании, при чем тут производитель? мне нужно знать как лучше сделать и все

[Iska]

это программа разработка компании »
Вот оно даже как… В таком случае, что мешает разработчикам компании прочитать учебник по программированию под Windows NT?

мне нужно знать как лучше сделать »
Переписать ПО таким образом, чтобы оно учитывало реалии сегодняшнего дня, а не прошлого века. Тогда не придётся заниматься извращениями.

[fractal90]

и в чем же они учитываются? вы бы лучше помогли чем оценивать, работаем на том что есть, выбирать не приходится, а обновлять надо

это выходит тот же 2гис который не хочет работать без обновления данных, и ему тоже нужны права для обновления, если не знаете как через групповые политики это сделать то смысл предлагать другие варианты, переписать по не в моей компетенции и не в моих знаниях

[James Marsh]

хотят обновляться и им нужны права админа для этого »
В чем состоит процесс обновления? Если просто перезапись файлов в каталоге, то просто дайте права группе "Пользователь домена" / "Прошедшие проверку" (второе кажись правильнее будет) на полный доступ в каталог с программой и файлы внутри нее.

[Iska]

и в чем же они учитываются? »
fractal90, я не планирую пересказывать через Вас разработчикам Вашей конторы все изменения от момента появления Windows NT.

если не знаете как через групповые политики это сделать то смысл предлагать другие варианты, переписать по не в моей компетенции и не в моих знаниях »
Гадание на кофейной гуще и обсуждение неназванных сферических коней в вакууме не входит в список моих достоинств, сожалею. А вот Вы можете, взяв в руки Process Monitor, попытаться найти и затем обойти несуразности разработчиков. Одну возможную частность описал коллега James Marsh выше.

[fractal90]

В чем состоит процесс обновления? Если просто перезапись файлов в каталоге, то просто дайте права группе "Пользователь домена" / "Прошедшие проверку" (второе кажись правильнее будет) на полный доступ в каталог с программой и файлы внутри нее. »

вот это уже мысль, а как дать права на это дело? думаю это все бы решило)

[fractal90]

В чем состоит процесс обновления? »
Просто перезапись

[El Scorpio]

Цитата Iska:
fractal90, так и хочется посоветовать — меняйте тогда к чертям производителя такого чуда, который до сих пор живёт во временах Windows 98. »

это программа разработка компании, при чем тут производитель? мне нужно знать как лучше сделать и все »
Надавайте разработчикам целебных пендюлей. В первую очередь именно они отвечают за обеспечение удобного, надёжного и безопасного механизма обновлений.
Если лично не можете - напишите директору служебную записку о том, что продукты жизнедеятельности отдела разработки служебного ПО должны учитывать общепринятые правила безопасности современных операционных систем.
Хотя какой, к чёрту "современных". Windows XP была написана 13 лет тому назад, а Windows 2000 - вообще 15.


А правильным решением является следующее
1. Формирование дистрибутива MSI, для обеспечения возможности автоматического обновления средствами групповых политик.
2. Если ПО должно обновляться очень быстро (без необходимости перезапуска компьютера), значит в его составе должна быть системная служба, которая будет проверять выход новых обновлений и выполнять установку в полностью автоматическом режиме.
В качестве примера могу назвать службу Mozilla maintenance service, которая обеспечивает автоматическое обновление Firefox, Thunderbird и других программ без участия пользователя.