Ändern der DCOM-Konfiguration-Sicherheitseinstellungen mithilfe von Powershell

Ich habe die Aufgabe, das schreiben von Powershell-Skripts zum einrichten eines Servers von Grund auf neu zu laufen, an einer unserer Dienstleistungen als Teil einer web-Anwendung und einer der Schritte für das einstellen dieser server ist die änderung der DCOM-Konfiguration für das installierte service, speziell das hinzufügen von Konten, um die "Start und Aktivierung"/"Access" Berechtigungen und setzen Sie die Berechtigungen für diese Konten, nachdem Sie Hinzugefügt wurden.

Gibt es eine Methode, dies zu tun mit Powershell überhaupt? Ich habe nicht in der Lage zu finden, eine konkrete Methode, das zu tun, was ich bin mit dem Ziel zu erreichen, so dass jede Hilfe wäre toll

InformationsquelleAutor Vermin | 2012-07-06
  1. 13

    Sieht aus wie Sie es tun würde, wenn Sie WMI verwenden.

    Erhalten eine Instanz von: Win32_DCOMApplicationSetting wie diese:

    $dcom = Get-WMIObject -Class Win32_DCOMApplicationSetting -Filter 'Description="Something"'

    Jetzt haben Sie Zugriff auf die SetAccessSecurityDescriptor und SetLaunchSecurityDescriptor Methoden.

    Aus: http://msdn.microsoft.com/en-us/library/windows/desktop/aa384905(v=vs. 85).aspx

    DCOM-Anwendungen

    DCOM-Anwendung Instanzen haben einige Sicherheitsbeschreibungen. Ab
    mit Windows Vista, verwenden Sie Methoden der Win32_DCOMApplicationSetting
    Klasse zum abrufen oder ändern Sie die verschiedenen Sicherheits-Deskriptoren. Sicherheit
    Deskriptoren zurückgegeben werden als Instanzen der Win32_SecurityDescriptor
    Klasse.

    Zu bekommen oder ändern Sie die Konfiguration von Berechtigungen, rufen Sie die
    GetConfigurationSecurityDescriptor oder
    SetConfigurationSecurityDescriptor Methoden.

    Zu bekommen oder ändern Sie die Zugriffsberechtigungen, rufen Sie die
    GetAccessSecurityDescriptor oder SetAccessSecurityDescriptor Methoden.

    Zu erhalten oder ändern Sie den Start-und Aktivierungsberechtigungen, rufen Sie die
    GetLaunchSecurityDescriptor oder SetLaunchSecurityDescriptor Methoden.

    Windows Server 2003, Windows XP, Windows 2000, Windows NT 4.0, und
    Windows Me/98/95: Die Win32_DCOMApplicationSetting Sicherheit
    Deskriptor Methoden stehen nicht zur Verfügung.

    Es gibt auch ein tool namens DCOMPERM in die der source-code ist verfügbar in der Windows-SDK: http://www.microsoft.com/en-us/download/details.aspx?id=8279

    Finden Sie kompilierten Versionen rund um online wenn Sie suchen, für DCOMPERM zusammengestellt.

    Hier sind die Kommandozeilen-Optionen:

    Syntax: dcomperm <option> [...] 
Options:

Modify or list the machine access permission list 
-ma <"set" or "remove"> <Principal Name> ["permit" or "deny"] ["level:l,r"] 
-ma list

Modify or list the machine launch permission list 
-ml <"set" or "remove"> <Principal Name> ["permit" or "deny"] ["level:l,r,ll,la,rl,ra"] 
-ml list

Modify or list the default access permission list 
-da <"set" or "remove"> <Principal Name> ["permit" or "deny"] ["level:l,r"] 
-da list

Modify or list the default launch permission list 
-dl <"set" or "remove"> <Principal Name> ["permit" or "deny"] ["level:l,r,ll,la,rl,ra"] 
-dl list

Modify or list the access permission list for a specific AppID 
-aa <AppID> <"set" or "remove"> <Principal Name> ["permit" or "deny"] ["level:l,r"] 
-aa <AppID> default 
-aa <AppID> list

Modify or list the launch permission list for a specific AppID 
-al <AppID> <"set" or "remove"> <Principal Name> ["permit" or "deny"] ["level:l,r,ll,la,rl,ra"] 
-al <AppID> default 
-al <AppID> list

level: 
    ll - local launch (only applies to {ml, dl, al} options) 
    rl - remote launch (only applies to {ml, dl, al} options) 
    la - local activate (only applies to {ml, dl, al} options) 
    ra - remote activate (only applies to {ml, dl, al} options) 
    l - local (local access - means launch and activate when used with {ml, dl, al} options) 
    r - remote (remote access - means launch and activate when used with {ml, dl, al} options)
    • Vielen Dank Andy, das ist eine Menge geholfen! Am Ende habe ich eine Mischung aus beiden Methoden. Ich benutzte die Win32_DCOMApplicationSetting, um die app-ids, und dann DComPerm zum hinzufügen der erforderlichen Berechtigungen. Etwas fand ich ein wenig seltsam war, dass CMD lief DcomPerm mit viel weniger Problemen als die Powershell, so dass zu erreichen, was ich brauchte, ich schrieb eine batch-Datei, in dem bestimmte Variablen übergeben wurden, und nannten diese von Powershell.
    • meine Vermutung wäre das Sie Probleme hatte mit PowerShell sind wahrscheinlich syntax/Befehlszeile Parsen Verwandte. Vielleicht poste die Fehlermeldung, die Sie bekommen haben?
    InformationsquelleAutor Andy Arismendi
  2. 7

    Hatte ich die gleiche Frage wie der OP. Die Antwort Andy gebucht, war sehr hilfreich und hat mich auf halbem Weg. Ich habe dann festgestellt, das Set-DCOMLaunchPermissions von jemandem geschrieben, um Ihnen zu helfen bei der Bereitstellung von SharePoint.

    Ich angepasst, Ihre Funktion für meine Zwecke und kam mit einer Lösung, die die Berechtigungen festgelegt, die ich brauche.

    $user = "sql2012agent"
$domain = "MYDOMAIN"
$appdesc = "Microsoft SQL Server Integration Services 11.0"
$app = get-wmiobject -query ('SELECT * FROM Win32_DCOMApplicationSetting WHERE Description = "' + $appdesc + '"') -enableallprivileges
#$appid = "{83B33982-693D-4824-B42E-7196AE61BB05}"
#$app = get-wmiobject -query ('SELECT * FROM Win32_DCOMApplicationSetting WHERE AppId = "' + $appid + '"') -enableallprivileges
$sdRes = $app.GetLaunchSecurityDescriptor()
$sd = $sdRes.Descriptor
$trustee = ([wmiclass] 'Win32_Trustee').CreateInstance()
$trustee.Domain = $domain
$trustee.Name = $user
$fullControl = 31
$localLaunchActivate = 11
$ace = ([wmiclass] 'Win32_ACE').CreateInstance()
$ace.AccessMask = $localLaunchActivate
$ace.AceFlags = 0
$ace.AceType = 0
$ace.Trustee = $trustee
[System.Management.ManagementBaseObject[]] $newDACL = $sd.DACL + @($ace)
$sd.DACL = $newDACL
$app.SetLaunchSecurityDescriptor($sd)
    • Ich bin versucht, das PS-Skript gepostet von @Elijah W. Gagne oben zum konfigurieren von DCOM und erhalte die Fehlermeldung "Die Eigenschaft 'DACL' kann nicht gefunden werden auf dieses Objekt. Stellen Sie sicher, dass die Eigenschaft vorhanden und kann gesetzt werden." Der Fehler für die Zeile "$sd.DACL = $newDACL". Ich bin nicht sehr bewandert im PS Verwendung. Kann mir jemand sagen was muss ich tun, um das arbeiten. Vielen Dank!
    • Ich würde die Dinge laufen, bis Zeile 4. Die Ausgabe der $app-variable und bestätigen, es ist nicht leer (null). Wenn es ist, werden Sie wahrscheinlich haben, um Ihre WHERE-Klausel in Zeile 4.
    • Ja, ich hatte zu ändern, ist mir, wie ich war, die mit der version 12.0 11.0 nicht und ich fand das $ - app zu null. Aber nach der änderung des $appdesc zu mir das Skript arbeitete ein Charme.
    • Ich kann diese Arbeit nur, wenn ich bereits das Component-Services - DCOM-Konfiguration-Snap-in geladen. Gibt es eine Möglichkeit, das zu tun, programmgesteuert?
    InformationsquelleAutor Elijah W. Gagne
Schreibe einen Kommentar