Discussion :

[guigui69]

Bonjour,

je voudrais savoir si il est possible de créer un compte utilisateur avec des droits limités (> Uniquement le droit de redémarrer les services Windows).

J'ai un service qui démarre avec le compte AUTORIT NT\SERVICE LOCAL et dans onglet "récupération" j'ai indiqué un script Powershell pour rédemarrer 3 services si celui-ci plante.

Le probleme c'est que le compte AUTORITE NT\Service Local n'ai pas le droit de redémarrer les services.

Donc je voudrais crééer un compte utilisateur qui disposerai juste du droit de reboot les services.


merci d'avance pour votre aide et explication

guigui69

[Incorporated]

Bonjour,

Est-ce un compte utilisateur local ? ou un utilisateur AD ?

Dans les 2 cas, vous pouvez certainement trouver votre solution dans les GPO. Il est possible de gérer l'intégralité des droits d'un utilisateur.

[Andnotor]

Il faudrait modifier les ACLs de ces services. Tu peux lister les droits actuels par la commande sc.exe sdshow LeNomDuService. Ce qui te donnera une sortie ressemblant à ceci :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)...

Où D: est le contrôle de permissions (DACL), suivi des droits par utilisateur/groupe entre parenthèses.

A (allow) représente des autorisations. A l'inverse, D (Deny) serait des limitations.
Il est suivi d'un certains nombre de droits (toujours deux lettres), RP est le démarrage du service et WP son arrêt.
Enfin les deux dernières lettres sont l'utilisateur ou groupe d'utilisateurs (mais ça pourrait aussi être un SID). Ici SY = SYSTEM et BA = groupe administrateurs.


On peut ensuite ajouter le SERVICE LOCAL (LS) par sc.exe sdset. A noter qu'avec cette commande les droits ne sont pas ajoutés mais remplacés, il faut bien prendre soin d'insérer la donnée récupérée ci-dessus. Ca donnerait quelque chose comme ceci :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

sc.exe sdset LeNomDuService D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;RPWP;;;LS)...

Si LS est déjà listé par sdshow, il suffit bien sûr d'ajouter RPWP à ses droits actuels