Tâche planifiée Windows: Quels sont les droits d'utilisateur minimum requis pour la tâche?

13

Pour le moment, j'ai une tâche qui est configurée pour s'exécuter en tant qu'utilisateur "tâche automatique"

Mais la tâche ne s'exécutera pas, "impossible de démarrer" s'affiche.

Lorsque j'ajoute cet utilisateur au groupe Administrateurs, la tâche s'exécute correctement.

Mais dans la vraie vie .... Je veux que cet utilisateur soit SUPER restreint .... UNIQUEMENT capable d'exécuter cette tâche, aucun droit de connexion, aucun droit de système de fichiers autre que sur le fichier batch unique ....

J'ai cherché haut et bas un document qui dit "voici l'utilisateur de base le plus dépouillé qui peut exécuter une tâche" ....

Il ne semble pas exister un tel document!

Suggestions?

Merci!

scheduled-task

— Jonesome Reinstate Monica
source

14

Outre les autorisations du système de fichiers, vous devrez autoriser Log on as a batch job. Il contrôle la création de la session pour une tâche planifiée.

Le planificateur de tâches doit placer l'utilisateur dans cette liste d'autorisation lorsque vous créez la tâche. Vous pouvez confirmer avec l'outil de stratégie de sécurité locale. L'autre possibilité est qu'il est configuré via une stratégie de groupe, auquel cas, effectuez une fouille dans l'ensemble de stratégie résultant et recherchez l'objet de stratégie de groupe qui doit être modifié.

Voici l'autre chose: vérifiez les autorisations sur c:\windows\system32\cmd.exe. Ils sont géniaux. Si vous avez supprimé l'utilisateur du Usersgroupe, il ne peut pas exécuter cmd.exe par défaut, ce qui a tendance à être une grande partie de l'exécution d'un fichier de commandes. Ajoutez l'utilisateur à cette ACL, avec lecture / exécution. Vérifiez tous les exécutables que le fichier de commandes doit toucher.

— Shane Madden
source

-2

Que diriez-vous d'accorder les politiques suivantes:

Autoriser la connexion locale
Agir en tant que partie du système d'exploitation
Ajuster les quotas de mémoire pour un processus
Vérification du contournement
Verrouiller les pages en mémoire
Connectez-vous en tant que tâche par lots
Connectez-vous en tant que service
Effectuer des tâches de maintenance de volume
Remplacer un jeton de niveau processus

En savoir plus: http://sqlsolace.blogspot.com/2009/08/task-scheduler-task-does-not-run-error.html#ixzz1qGzzshH9

— Ingénieur système senior
source

4

L'OP souhaite que "cet utilisateur soit SUPER restreint". Les droits énumérés ci-dessus sont à peu près le contraire de cela. Par exemple, Act as part of the operating systempermet à l'utilisateur «d'assumer l'identité de n'importe quel utilisateur et ainsi d'accéder aux ressources auxquelles l'utilisateur est autorisé à accéder» docs.microsoft.com/en-us/previous-versions/windows/it-pro/… . Perform volume maintenance taskspermettrait à l'utilisateur de supprimer l'intégralité du disque dur et toutes sortes d'autres choses terribles.

— Daniel Schilling

J'ai hésité à voter cette réponse, mais honnêtement, cette liste d'autorisations est tellement pire que d'accorder l'accès au compte aux administrateurs que je dois donner à quiconque un contexte de lecture pour rester clair .

— duct_tape_coder