Les utilisateurs connectés via VPN doivent avoir une connectivité à un contrôleur de domaine (éventuellement en lecture seule) pour confirmer l'authentification du compte. Cela ressemble au centre de votre problème particulier. Si l'ordinateur Windows ne peut pas voir Active Directory, il ne sera pas en mesure de confirmer les modifications apportées au domaine, y compris vos administrateurs qui tentent de transformer l'utilisateur en administrateur. Travaillez avec votre fournisseur VPN pour vous assurer que les règles de pare-feu appropriées sont configurées pour l'authentification par domaine.
Une fois l'utilisateur connecté au VPN, l'administrateur système doit disposer d'un outil d'accès à distance pour pouvoir partager l'écran et afficher toutes les fenêtres de contrôle UAC qui apparaissent. Dameware et l'outil d'assistance à distance intégré fonctionnent bien. WebEx ne masque pas la session distante lorsque l'invite UAC s'affiche.
À l'aide de l'outil d'accès à distance, l'administrateur système peut cliquer avec le bouton droit de la souris sur un fichier du programme d'installation, sélectionner "Exécuter en tant qu'administrateur" ou "Exécuter en tant qu'utilisateur différent" et utiliser les informations d'identification de l'administrateur pour exécuter le programme d'installation. Lorsque l'utilisateur est connecté au VPN, l'ordinateur pourra s'authentifier auprès du contrôleur de domaine Active Directory et accorder à l'administrateur l'accès nécessaire pour exécuter le programme d'installation. Cela "met également en cache" les informations d'identification pour une utilisation future, comme si l'administrateur s'était connecté localement à l'avance et que l'utilisateur ne voyait ni ne connaissait le mot de passe de l'administrateur à aucun moment.
S'il s'agit d'un fichier MSI ou requiert la ligne de commande, cliquez avec le bouton droit de la souris sur l'icône d'invite de commandes dans le menu Démarrer, de la même manière que ci-dessus et, après l'authentification, utilisez MSIEXEC pour installer MSI.
Comme l’a mentionné Slipeer, LAPS sera un élément à configurer ultérieurement, car il ne résout pas le problème immédiat. Il résout le problème où un utilisateur ne dispose pas de connectivité réseau ou VPN en permettant à votre annuaire Active Directory de gérer des comptes d’administrateur locaux individuels. Toutefois, si l’utilisateur distant ne peut pas se connecter au domaine via VPN, il ne peut pas être poussé vers le système.
Si vous ne pouvez pas utiliser un outil d'accès à distance pour contourner le contrôle de compte d'utilisateur, vous pouvez utiliser compmgmt.msc sur une machine locale, vous connecter à la machine de l'utilisateur, créer un compte administrateur local temporaire et l'utiliser comme ci-dessus, puis le désactiver avant que l'utilisateur ne se déconnecte. du VPN. Encore une fois, cela ne peut être fait que si vous avez une connectivité à un contrôleur de domaine Active Directory.