RUNAS->Programm installieren

[DAU-JONES 10]

Hallo Leute !

 

Ich beiss mir gerade an runas die Zähne aus. Die Suche im Forum hat mich leider nicht weitergebracht, deshalb mach ich mal einen eigenen Thread auf.

 

 

Ich versuche ein Programm via runas zu installieren. Die Installation funktioniert soweit auch ganz ordentlich, jedoch werden alle Registry Einträge für den Current User bei dem Konto angelegt, welches ich für runas benutze. Ich hab schon alles Mögliche mit den Schaltern /Profile /env probiert, bisher ohne Erfolg. der Aufruf sieht folgendermaßen aus.

angemeldet ist der rechtelose User

runas /env /user:Administrator MeinSetup.

 

Das Setup ist ein MSI Paket erstellt mit InstallerToGo.

Normalerweise müsste durch den Schalter /env das aktuelle Profil verwendet werden. Dies funktioniert auch, da die temporären Dateien des Setups im Userprofil landen, nur eben die Registry Einträge nicht!?!

 

Mach ich beim Aufruf was falsch oder ist das halt so?

[Hirgelzwift 10]

normalerweise, also wenn es ein MSI paket ist kannst du das paket dem benutzer per GPO zuweisen. dann wird es im kontext SYSTEM installiert macht aber die entsprechenden registry einträge beim richtigen benutzer.

 

leider schreibst du nicht das geringste über deine aktuelle umgebung so das man nur raten kann was denn richtig ist.

[ChristianHemker 10]

Für solche Fälle gibt es ein nettes kleine Script:

MakeMeAdmin. Damit fügst du einen normalen Benutzer kurzfristig in die lokale Administratorengruppe ein, um eine CMD zu starten. Aus der heraus kann man dann andere Programme mit administrativen Rechten und Berechtigungen starten:

 

http://blogs.msdn.com/aaron_margosis/archive/2004/07/24/193721.aspx

 

Unbedingt die gegebenen Hinweise auf die Besitzer von neu erstellten Dateien beachten, sonst reißt du wieder neue Sicherheitslücken!

[DAU-JONES 10]

Danke für die Antworten. Anscheinend muss ich das Problem ein wenig spezifizieren. Die PC's um die es geht werden für die Prozessleittechnik eingesetzt, sind zwar in einer Domäne, jedoch völlig getrennt vom normalen Firmennetz. Die Anmeldung erfolgt in der Regel lokal (Problemen durch Domänenanmeldung will man dadurch aus dem weg gehen denke ich mal, die Rechner müssen um jeden Preis in der Lage sein selbständig hochzufahren und die Anwendung zu starten ). Bin in einer Gruppe der Domäne welche auf jeder Maschine Adminrechte hat.

Nun zum Kernpunkt. Die Software, die es zu installieren gilt ist eine Eigenentwicklung, die historisch bedingt eigentlich erhöhte Rechte benötigt. Dieses Problem habe ich schon umschifft, indem ich während der Installation der Benutzergruppe in bestimmten Verzeichnissen die erforderlichen Rechte verschaffe. Nun könnte man natürlich sagen "Was soll der Geiz, User in die Admingruppe packen, installieren, neu starten und danach den User rechtelos machen". Das sehe ich auch so, jedoch ist die Anforderung eine Möglichkeit zu schaffen, mit normalen Userrechten, nur mit Windows Bordmitteln die Software zu installieren. Dies läuft ja fast perfekt, bis auf die Tatsache, dass die Einstellungen für den Current User nicht dort landen wo sie sollen, obwohl runas laut DoKU auch dieses Leisten müsste.

Nun bin ich mittlerweile an dem Punkt, die Registry keys auszulagern in regfiles, diese über ein paar kleine Einträge in der Runonceex zu importieren und danach wieder zu löschen.

[Gadget 37]

Hi Dau-Jones,

 

mach dir ein eigenes MSI-File für Anwendung (Repackaging) u. weis den Computern die Anwendung zu.

 

http://www.admincollege.net/themen/TB1/MSI/msi.htm

 

Z.B. mit dem Installer2GO:

http://www.dev4pc.com/installer2go.html

 

Die Registry-Settings für den CurrentUser kannst du mittels Skript über regedit /s setzen ober auch per Gruppenrichtlinie mit enstprechender Extension =>

 

Policymaker Registry Extension:

http://www.mcseboard.de/showthread.php?t=55764

 

BTW: Wo in der Doku von Runas hast du gelesen, dass runas das HKCU umschiffen könnte?

 

Runas ist dafür da unter nem anderen Benutzerkontext zu laufen u. damit ändert sich auch der Pfad zu HKCU.

 

LG Gadget

[DAU-JONES 10]

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/library/ServerHelp/0a688988-b5d1-494a-be98-61e3434c5715.mspx?mfr=true

 

Schalter /env habe ich diese Fähigkeit zugeschrieben, nach nochmaligen lesen zweifel ich jedoch daran.

 

Dummerweise wird nicht explizit darauf hingewiesen, dass HKCU trotz der Tatsache, das man das gerade aktive Profil verwenden kann, dem RUNAS-User angehört. Einerseits ist deine Erklärung logisch, jedoch impliziert der Schalter /ENV durch das verwenden des Profils des rechtelosen Users eben auch, dass dessen Registry ebenfalls geladen und aktiv ist.

 

regards