Remote Powershell für Nicht-Admin / User

[thomaso 10]

Hallo zusammen und Frohes Neues,

 

ist es möglich 'normalen' Benutzern im AD zu berechtigen die Remote Powershell zu nutzen, um Befehle auf DB-Servern auszuführen? Laut Hilfe muss man Administratorberechtigungen haben :rolleyes:

 

BENUTZERBERECHTIGUNGEN

   Um eine Remoteverbindung herzustellen und Remotebefehle 
   auszuführen, muss der aktuelle Benutzer ein Mitglied der Gruppe 
   "Administratoren" auf dem Remotecomputer sein. Alternativ kann 
   der aktuelle Benutzer gültige Anmeldeinformationen für ein 
   Administratorkonto auf dem Remotecomputer bereitstellen.

 

Zielsystem ist Server 2008R2 mit MSSQL 2008R2 EE.

Clients sind (noch) XP SP3 Prof.

 

Die Benutzer sind Programmierer und arbeiten meist auf Linux-Servern. Dort ist es problemlos möglich so per SSH zu arbeiten. Ich würde die Anforderung für Windows Server gern mit Boardmitteln realisieren.

 

Danke für eure Hilfe, google und die Boardsuche haben nichts zu Tage gefördert.

[blub 115]

Google mal nach

Powershell Session configuration

 

Blub

[thomaso 10]

Danke für den hilfreichen Hinweis.

 

Ich werde mich morgen im Büro weiter damit beschäftigen - dort wird´s bezahlt ;)

 

Heute konnte ich noch kurz googlen und habe auch was gefunden, aber nur ganz kurz überflogen.

 

Direkt eine Verständnisfrage:

Ist es so, dass man entsprechende User zu lokalen Admins auf der Zielmaschine machen soll und im Nachgang die Berechtigungen auf der Remote PS entzieht?

 

(Jetzt ist aber wirklich Ferierabend :))

[blub 115]

ne, umgekehrt.

1. Du erweiterst einen Standarduser, besser eine Gruppe, um die notwendigen Rechte in deiner DB.

2. Mit einer passenden Seesionkonfiguration kannst du diesem User bzw. einer Gruppe dann nur die cmdlets freigeben, die er benötigt um seine Aufgaben zu erfüllen.

3. Wenn die Verbindung verschlüsseln willst, sicherst du die Remoteverbindung mit SSL ab

 

Ein Beispiel für eine eingeschränkte AD-Administration auf einem Domaincontroller findest du hier:

http://www.powershellpraxis.de/Powershell-Remote.1050.0.html#c3841

 

blub

[thomaso 10]

Also auch noch nicht Feierabend ;)

 

1

Danke, Gruppe ist da :)

 

2

Mh, sind halt Linuxfreaks. CMDlets kennen die gar nicht (ich für diesem Fall übriges auch nicht :shock:)

(wollte mir immer mal ein T-Shirt drucken lassen: WTF! ich bin kein DBA :D:D:D)

 

Back to topic: Eigentlich brauchen die Jungs nur ne CMD.

 

3

Ist klar, thx.

[Dukel 457]

Muss der User die DB _auf_ dem Server administrieren?

 

add-pssnapin SqlServerCmdletSnapin100
add-pssnapin SqlServerProviderSnapin100
Get-ChildItem SQLSERVER:\SQL\Server\SBSMonitoring

[thomaso 10]

Danke für die Hinweise - hat geklappt.

 Set-PSSessionConfiguration Microsoft.Powershell -ShowSecurityDescriptorUI

Lokal auf der Zielmaschine aufrufen und anschließend Benutzer oder Gruppe(n) berechtigen.