Мне нужна помощь, чтобы правильно настроить удаленное взаимодействие PowerShell для группы серверов, не являющейся администраторами. Прямо сейчас у нас есть рабочая конфигурация, которая позволяет учетным записям Admin Domain успешно подключаться к серверам без ошибок. Мы используем метод аутентификации Credssp с использованием SSL, и он отлично работает для учетной записи администратора домена.
С другой стороны, у меня есть учетная запись домена пользователя userTest. Эта учетная запись сопоставляется с группой домена, которая локально (на каждом сервере) сопоставляется с группами пользователей удаленного рабочего стола. Это позволяет этому пользователю успешно подключиться к этому серверу по протоколу RDP, но не имеет прав администратора. Он останется таким, и это не вариант сделать его локальным администратором.
Цель этого пользователя - разрешить учетным записям, не являющимся администраторами, выполнять набор сценариев на сервере с использованием Ограниченного сеанса, который подключается к учетной записи администратора домена. Проблема возникает, когда я пытаюсь подключиться к учетной записи userTest. Сервер отвечает с ошибкой Доступ запрещен:
[ServerA] Connecting to remote server ServerA failed with the following error message : Access is denied. For more information, see the about_Remote_Troubleshooting Help topic.
+ CategoryInfo : OpenError: (ServerA:String) [], PSRemotingTransportException
+ FullyQualifiedErrorId : AccessDenied,PSSessionStateBroken
Просматривая аналитические журналы событий, я обнаружил следующее сообщение об ошибке:
The WSMan service could not launch a host process to process the given request. Make sure the WSMan provider host server and proxy are properly registered.
Это конфигурация, которую я уже настроил:
Создал PSSessionConfiguration с именем RemoteDesktopUsers
Зарегистрировать-PSSessionConfiguration -Name RemoteDesktopUsers -StartupScript C: \ Start.ps1
Set-PSSessionConfiguration -Name RemoteDesktopUsers -ShowSecurityDescriptorUI (добавлена группа Пользователи удаленного рабочего стола в эту конфигурацию сеанса)
Так что да, в основном из того, что я уже искал в Google, это должна быть вся необходимая конфигурация, которая вам понадобится для PSRemote с учетными записями без прав администратора. Как я уже упоминал, использование учетной записи администратора домена, подключенной к этой SessionConfiguration, работает нормально, поэтому я подумал, что мне не хватает какого-то разрешения / привилегии / SDDL, которое позволяет этому пользователю получить доступ:
Windows Server 2008 R2 SP1
Powershell 4.0
Winrm ProductVersion = OS: 6.1.7601 SP: 1.0 Стек: 3.0
