Windows 7 - wie erhalte ich erhöhte Administrator Rechte

[Valentino-46]

Hallo Opsi Support,

ich schreibe mal wieder einen Eintrag in der Hoffnung, dass ihr mir wie meist kurz und knapp helfen könnt. Vielleicht geht es anderen ja auch wie mir.

Das Problem tritt bei uns häufiger auf, ich nehme aber jetzt das Beispiel "Ruhezustand deaktivieren" per "Powercfg /hibernate off" über DosInAnIcon oder auch Winbatch. Selbes Problem bei beidem!

Hier die OHNE Opsi Variante von Hand:
Ziel ist es auf all unseren Windows 7 Rechnern den Ruhezustand zu deaktivieren. Wenn ich das ganze von Hand ohne Opsi teste, kann ich eine Kommandozeile mit dem lokalen oder dem Domänen Administrator starten und dort das Kommando "Powercfg /hibernate off" eingeben. Siehe da: NICHTS ausser! "Sie haben keine Berechtigung zum Aktivieren oder Deaktivieren der Ruhezustandfunktion."

Ich bin aber definitiv lokaler oder Domänenadmin. Jetzt ist mir klar, wie es von Hand funktioniert. Ich starte die cmd.exe einfach mit "Als Administrator ausführen", damit aktiviert UAC mir den Administratoraccount und hat "erhöhte Rechte".
In DIESER cmd kann ich nun den selben Befehl ohne Probleme ausführen!

Jetzt ist meine Frage. Wie kann ich dem OPSI mitteilen, dass ich ERHÖHTE Administrator Rechte benötige und der lokale Admin (also der Pcpatch) nicht ausreicht?!? Denn wenn ich per Software on Demand das ganze ausrollen will, dann ist der Opsi Service ja nur normaler lokaler Admin...

Bei vielen Softwarepaketen funktioniert es auch ohne den Administrator Account zu nutzen, aber bei einigen wie eben den Ruhezustand abschalten eben nicht. Übrigens ist der Administratoraccount so wie Windows 7 dies wünscht natürlich deaktiviert und nur per Rechtsklick nutzbar.

Bei einer unattended Installation ist allerdings so ein Rechtsklick immer schwer

Achja UAC ist auf Stufe 3 von 4 standardmässig eingeschalten. Es kommt ja aber nichtmal eine Abfrage, dass er erhöhte Rechte möchte.

Vielen Dank im Voraus,
Valentino R.

[Mike1987]

Hallöchen
Ich setze auch n paar Energieoptionen mit dem powercfg tool...bei mir passiert das alles in einer Batchdatei die im WINST Script in der DosBatch aufgerufen wird.
Pack deine Befehle auch mal in 'ne Batch und starte die dann im DosBatch mit
runas /user:Admin /savecred "C:\myBatch.CMD"

VIelleicht hilft dir das ja weiter

Gruß,
Mike

[Valentino-46]

Hey danke für die Rückmeldung vorab,

also mit /savecred hab ich sehr schlechte Erfahrungen gemacht. Hast du mal versucht dich mit dem lokalen Admin an die Windows 7 Kiste anzumelden, eine CMD zu starten (und zwar ohne "als Administrator ausführen") und dann dort drin "powercfg /hibernate off" bzw on einzugeben? Würd mich interessieren was er bei dir sagt.

Weil dein /user:admin ist ja sicher auch nicht der Oberadministrator von Windows 7 sondern ein lokaler oder ein Domänenadmin. Diese könnens bei mir ja aber nichtmal in einer cmd.exe. Also wie soll es der Opsi dann hinbekommen ohne speziellen zusätzlichen Befehl. Verstehst?

Bin aber für jede Hilfe sehr dankbar!

Gruß Vale

[Mike1987]

Das funktioniert bei mir auch nicht...keine BErechtigungen...bla bla..
Aber ich habe gerade ne andere Idee die ich teste und auch schon zu 50% funktioniert
Weiß gerade nur noch wie ich per Batch die Abfrage nach "wollen sie wikrlich das programm starten" unterdrücken kann?!

[Valentino-46]

von hand in der dos batch kenn ich folgendes (funktioniert bei mir aber au net):

test.bat:
set __COMPAT_LAYER=RunAsHighest
powercfg /hibernate on

(hier gibts noch: RunAsInvoker, RunAsHighest (das brauch ich), RunAsAdmin

Das hat bei mir in der DosBatch im Opsi aber dann trotzdem net hingehauen.
Auch von Hand die Batch ausgeführt schmeisst er mir kurz ne Batch auf, dann hat er ihn aber nicht aktiviert. Ich teste das ganze am Powercfg mit hibernate, damit ich sofort sehe wenn ich auf Start -> Pfeilchen von Herunterfahren usw. ob er den da jetzt eingefügt hat...In ner "erhöhte Rechte" Batch vom Administrator macht ers sofort. Bei RunAsHighest packt ers net...

Die Abfrage die du loshaben willst, wenn du die von erhöhten Admin Rechten meinst ist folgende:

cmd.exe -> secpol.msc -> Lokale Richtlinien -> Sicherheitsoptionen -> und dann der Punkt: Benutzerkontensteuerung: Verhalten der Eingabeaufforderung für erhöhte Rechte für Administratoren im Administratorbestätigungsmodus auf "Erhöhte Rechte ohne Eingabeaufforderung" setzen
Damit könnte ich sogar leben wenns nur daran scheitert...

Grüßle,
Vale

[Mike1987]

Pass auf...mach dir ne Batch mit dem Befehl "C:\Windows\System32\powercfg.exe /hibernate off" (am besten legst du die auf den Desktop)
Dann machs du zu der Batch eine Verknüfpung! Legste auf den Desktop. In der bei der Verknüpfung machste rechtsklick -> Eigenschaften -> Registerkarte "Verknüpfung" -> Erweitert -> Haken bei "Als admin ausführen" setzten.
Dann lässt du von OPSI beide Dateien auf den Desktop des Users Kopieren fürst die VERNÜPFUNG!! aus und dann startet der die Batch mit den richtigen Adminrechten Das hab ich gerade mal getestet...nur doof wegen der nachfrage ob es wirklich gestartet werden soll... ...

[uncle_scrooge]

Für dieses spezielle Problem (ggfs. auch für ähnlich gelagerte) kann man sich mit einem scheduled task behelfen.

Batch mit Inhalt 'powercfg /hibernate off' bauen, auf den Client kopieren.
Im WINST-Script über ExecWith (oder was einem lieber ist) folgendes absetzen:
schtasks /create /ru system /sc once /TN hiboff /tr <Pfad und Name der Batch> /st 05:00 /f
schtasks /run /TN hiboff
schtasks /delete /TN hiboff /f

Für den /TR-Parameter könnte man eigentlich auch direkt den powercfg Aufruf nehmen, habe aber gerade die genaue Syntax hinsichtlich der Parametrisierung parat.

Interessant ist trotzdem, daß ein direkter Aufruf aus OPSI/WINST nicht funktioniert. Der OPSI-Service, und damit im Nachgang auch WINST, läuft unter dem account SYSTEM. Der oben angelegte Task genauso. Und damit funktioniert es.

[Mike1987]

Das mit den Schedultasks hab ich auch gelesen...wusste aber nicht das man die der Kommandozeile setzen kann...jetzt weiß ich es
Damit wird es auf jedenfall Funktioniern

[Valentino-46]

Hi zusammen,
also die Lösung mit dem Task hab ich auch gelesen und wollte es auch noch irgendwann testen. Wie du sagst, ganz interessant dass der OPSI es so nicht kann. Vielleicht kann er es ja irgendwann mal. Deshalb wollte ich auch dein Eintrag reinschreiben. Das mit dem Task sah für mich auf den ersten Blick etwas getrickst aus. Wenn man so liest, weiss man auch, dass es von dem Scheduler Task ziemlich getrickst IST

Aber man muss irgendwann auch akzeptieren, dass es eine getrickste Lösung sein muss...und nicht immer alles so funktioniert wie man will.

Euch danke ich schon vielmals für die Unterstützung. Ich werde beide Varianten noch durchtesten, da heute Freitag ist schaffe ich es vllt erst nächste Woche. Dann schreibe ich aber sicher Antworten damit ihr auch unterrichtet seid ob ich "zufrieden" bin

Falls das hier noch ein OPSI Programmierer liest Hallöle. Zeit und Lust und Interesse eine "sauberere" Lösung zu basteln?

Danke und Grüßle,
Vale

[d.oertel]

Hi,

ich arbeite zur Zeit am opsi-winst 4.11.3 der an diesen Ecken Erweiterungen erfahren wird.
Da kann ich das auch noch versuchen einzubauen.....

Danke für den Hinweis

gruss
d.oertel