Как использовать инструменты командной строки (psexec, netuse), которые требуют учетные данные, не выставляя их в виде простого текста в журналах?
Прежде всего, вот мои ограничения:
- Я использую PSExec и Netuse из командного файла.
- Мне нужно работать от имени другого пользователя, а не в настоящее время вошли в один. У нас есть строгая схема разрешений, при которой администраторы сервера не являются администраторами настольных компьютеров и наоборот. Я запускаю свой командный файл как администратор сервера и мне нужно использовать учетные данные администратора рабочего стола на целевом компьютере.
- Не ограничение, просто примечание. У меня есть полный контроль и доступ к обеим этим необходимым учетным записям.
- Нужно быть без головы, не должно быть всплывающего окна с просьбой ввести пароль.
Мое текущее использование работает с использованием -u а также -p флаги (/user для сетевого использования), но к моему ужасу охранник показал мне, что мой пароль записан в виде простого текста. Я должен был понять, что это будет так. Я предпринял шаги, чтобы все не было интерактивным, и никогда не сохранял пароль в виде обычного текста, но, конечно, журнал его видел.
Есть ли способ сделать это? Я хочу, чтобы команда была зарегистрирована, но, очевидно, не при такой большой угрозе безопасности.
Обычное решение - запустить скрипт от имени пользователя с повышенными правами, а все команды выполняются от имени этого пользователя. Однако из-за нарушения прав доступа, если я запускаю его как администратор рабочего стола, я вообще не могу запустить скрипт на сервере. Если я запускаю его как администратор сервера, все мои удаленные попытки будут отклонены.