[Powershell] Prozesse inkl. Benutzernamen als normaler Benutzer auslesen

[roccomarcy 20]

Hey,

 

wir überwachen unsere Systeme via Icinga2 und dem dazugehörigen Powershell-Framework für die Windows-Systeme. Ich habe nun ein Skript geschrieben, welches auf dem zu überwachenden Server liegt und durch den Icinga2-Agent gestartet wird. Dieses Skript soll prüfen, ob ein bestimmter Prozess unter einem bestimmten Benutzer gestartet wurde. Kommen wir jetzt zu dem Problem:

 

Wenn ich das Skript als Administrator ausführe funktioniert es ohne Schwierigkeit, sobald das Skript aber unter dem Benutzerkontext des Icinga2-Agent (normales Benutzerkonto) ausgeführt wird, dann gibt es keine Rückmeldung bzgl. dem Benutzernamen. Ich habe dann schon die WMI-Konfiguration angepasst und dem Benutzer mehr Rechte eingeräumt, leider ohne Erfolg. 

 

Meine Frage wäre daher: Hatte schon jemand ähnliches Thema  und dafür eine elegante Lösung gefunden? Ich kann den Icinga2-Agent natürlich in die Gruppe der lokalen Administratoren verschieben, aber das ist eigentlich nicht der richtige Weg (mMn).

[cj_berlin 1.417]

Moin,

 

das hat nichts mit PowerShell zu tun. Du brauchst die seSecurityPrivilege, und das ist im normalen Token ausgeblendet, selbst wenn es im Admin-Token enthalten wäre.

Du kannst mal schauen, was passiert, wenn Du dem Service-User in der Group Policy (oder LGPO) das Recht explizit gibst ("manage auditing and security log", meine ich). Vielleicht reicht es ja schon. Falls nicht, musst Du mit sc privs  den Icinga Agent-Dienst anweisen, dieses Recht beim Starten anzufordern.

 

Davon völlig abgesehen: Deinen Least Privilege-Ansatz in allen Ehren, aber Monitoring mit einem normalen Benutzerkonto ist sehr ungewöhnlich.

bearbeitet vor 2 Stunden von cj_berlin

[testperson 1.785]

Hi,

 

Kategorie "Workaround": Beim User, der den Prozess starten soll, eine Aufgabe an "Anmeldung" hängen und alle x Minuten "Get-Process" gefiltert auf den Prozess in ein Log File schreiben und mit dem Icinga2 Agent das Log auswerten? Alternativ die Aufgabe als System starten und auf Prozess + User filtern.

 

Gruß

Jan