Kiểm tra xem một người dùng nhất định có một đặc quyền nhất định

Cho một cặp người dùng và một đặc quyền tôi cần xác định xem người dùng có đặc quyền trên máy chủ hay không. Sau đây là đúng trong thiết lập của tôi:

• Máy chủ là một phần của miền nhưng không phải là bộ điều khiển miền
• Có một số lĩnh vực có mối quan hệ tin cậy trong cơ sở hạ tầng
• Đôi khi người dùng (cục bộ, tên miền hoặc từ một tên miền khác) có thể thuộc về một nhóm địa phương bởi vì họ thuộc một nhóm khác (tên miền hoặc địa phương) thuộc về một nhóm địa phương, trái ngược với thuộc về nhóm trực tiếp.

Kịch bản ví dụ cho điểm cuối cùng:

• User1 thuộc nhóm TeamA trong DomainA
• DomaimA \ TeamA là thành viên của DomainB \ SpecialAccess
• DomainB \ SpecialAccess là thành viên của DomainB \ DomainAdmins
• Cuối cùng, DomainB \ DomainAdmins thuộc nhóm Quản trị viên cục bộ
• Nhóm Quản trị viên cục bộ có SeRemoteInteractiveLogonRight privateelege

Bây giờ Nếu tôi có đầu vào DomainA \ User1 và SeRemoteInteractiveLogonRight, tôi cần đến câu trả lời Có hoặc Không. Vì vậy, tôi mở Chính sách cục bộ trên máy, lưu ý nhóm nào được liệt kê theo quyền tôi cũng quan tâm, sau đó đi đến người quản lý máy chủ và xem những gì ở các thành viên nhóm và sau đó tôi cần xem thành viên nào của bất kỳ nhóm nào trong các nhóm này và như thế.

Tôi có một cảm giác ruột rằng nó có thể dễ dàng hơn. Tôi thực sự phấn khích khi tìm thấy tiện ích AccessChk Nó kéo dài cả ba phút khiến tôi phát hiện ra rằng nó chỉ liệt kê mối quan hệ trực tiếp, vì vậy người dùng trong một nhóm sẽ không được liệt kê.

Bây giờ tôi đoán rằng có thể kết hợp các kết quả từ AccessChk một số cách để tôi có thể kiểm tra xem người dùng có thuộc bất kỳ nhóm nào mà AccessChk trả về hay không, nhưng cho rằng đó không phải là một tên miền mà là một vài trong số đó không chắc chắn làm thế nào để tiếp cận điều này. Ngoài ra đầu ra AccessChk dường như không phân biệt giữa một nhóm và người dùng.

EDIT : Với tinh thần không rơi vào bẫy vấn đề XY, điều tôi thực sự cần làm là đảm bảo rằng trên một nhóm máy chủ không có tài khoản người dùng cụ thể nào được sử dụng làm danh tính nhóm ứng dụng IIS có các đặc quyền SeInteractiveLogonRight hoặc SeRemoteInteractiveLogonRight. Tôi không có vấn đề gì với phần IIS, nhưng bước cuối cùng của việc kiểm tra tài khoản dựa trên đặc quyền là điều mà tôi đang vật lộn để tìm cách kiểm tra đơn giản. Tôi cũng muốn tự động hóa việc kiểm tra vì đây là việc cần phải được thực hiện thường xuyên.

Mã thông báo truy cập không có thông tin về quyền, chỉ về đặc quyền.

Những gì bạn cần làm là đây:

• Tìm quy trình công nhân IIS tương ứng với nhóm ứng dụng của bạn. Vì bạn biết danh tính nhóm ứng dụng nên dễ dàng bằng cách liệt kê tất cả các quy trình với tên quy trình worker và lọc cái có danh tính. Nếu có nhiều hơn một, bạn có thể sử dụng bất kỳ.
• Sử dụng GetTokenIn information với lớp thông tin Tokengroup, không phải là TokenPriv đặc quyền trên mã thông báo quy trình. Kết quả sẽ cung cấp cho bạn tất cả các nhóm chuyển tiếp, danh tính cũng thuộc về. Điều này có nghĩa là ngay cả những người gián tiếp.
• Bây giờ bạn có thể lặp qua các nhóm này và gọi LsaEnum CảAccountRights trên mỗi nhóm và đối chiếu thông tin. Điều này sẽ cung cấp cho bạn những gì bạn muốn.

Những điều trên phụ thuộc vào sự tồn tại của quá trình (và mã thông báo) tương ứng với danh tính tài khoản. Trong kịch bản của bạn, điều này không phải là một vấn đề. Trong trường hợp xảy ra sự cố, bạn có thể thử và sử dụng tra cứu Active Directory cho thuộc tính được tính toán của Token-Groups . Bài viết này liệt kê một vài cách tiếp cận làm thế nào để thực hiện điều này.