WMI in login script werkt niet bij non-admin gebruikers

[Ripley]

Met een GPO shutdown batch script wordt op dit moment mbv WMI, hardware en software informatie van de systemen in ons schoolnetwerk verzamelt. Dit werkt zonder problemen.

Nu wil ik enkele WMI queries uitvoeren in een GPO login batch script om gebruikers-informatie op te vragen. Het script is binnen één seconde klaar waardoor de gebruikers er geen last van zullen hebben. Dit werkt probleemloos bij gebruikers met admin rechten maar bij alle andere gebruikers (leraren en leerlingen) wil WMIC niet starten omdat deze geen lid zijn van de administrator groep.

Vanzelfsprekend is het geen optie om de leraren en leerlingen lid te maken van de admin groep. Is het mogelijk om WMIC met administrator rechten uit te voeren vanuit het login script zodat het toch start bij non admin gebruikers? Of is er wellicht een andere manier om dit probleem op te lossen?

Vrijwel alle informatie die ik hierover kan vinden gaat over 'remote WMI connections' maar dit betreft het lokaal uitvoeren van WMIC op een (Windows XP) systeem.

[CMD-Snake]

Je hebt het script dan toegewezen aan de gebruikers (logon script) en dan draait het script onder hun account. Dan lukt het inderdaad niet. Je moet er anders een start-up script van maken, dan voert de computer het uit en de system account is local admin.

Wat wil je bereiken met je script?

[Ripley]

CMD-Snake schreef op zaterdag 10 november 2012 @ 23:17:
Je hebt het script dan toegewezen aan de gebruikers (logon script) en dan draait het script onder hun account. Dan lukt het inderdaad niet. Je moet er anders een start-up script van maken, dan voert de computer het uit en de system account is local admin.

Wat wil je bereiken met je script?

Het login script draait inderdaad onder user de account.

Het doel is om gebruikers-informatie te verzamelen zoals oa met de volgende regels:

• WMIC PATH WIN32_NETWORKLOGINPROFILE WHERE "CAPTION='%USERNAME%'" GET FULLNAME, LASTLOGON, PASSWORDAGE, PASSWORDEXPIRES /VALUE
• WMIC PATH WIN32_PRINTER WHERE "DEFAULT='TRUE'" GET /ALL /VALUE

Aangezien deze informatie niet tijdens de 'startup' beschikbaar is, wil ik deze queries in het login script uitvoeren.

Met behulp van 'wmimgmt' kun je zeer fijnmazig bepalen welke gebruikers wat mogen zien en doen in WMI. Ik begrijp dus eerlijk gezegd niet waarom WMI dan toch admin rechten vereist in XP.

[CMD-Snake]

Ripley schreef op zaterdag 10 november 2012 @ 23:56:
[...]

is om gebruikers-informatie te verzamelen zoals oa met de volgende regels:

• WMIC PATH WIN32_NETWORKLOGINPROFILE WHERE "CAPTION='%USERNAME%'" GET FULLNAME, LASTLOGON, PASSWORDAGE, PASSWORDEXPIRES /VALUE
• WMIC PATH WIN32_PRINTER WHERE "DEFAULT='TRUE'" GET /ALL /VALUE

Aha, ik snap waarom je dit dus bij login moet verzamelen. Maar waarvoor? Waar wil je deze data voor gebruiken?

De gebruikersgegevens kan je ook uit AD halen dmv powershell. De printer zou je eventueel remote via powershell kunnen uitlezen. Maar dit is natuurlijk alleen handig als je dit voor je eigen administratie wil gebruiken.

[Ripley]

CMD-Snake schreef op zondag 11 november 2012 @ 00:33:
[...]
Aha, ik snap waarom je dit dus bij login moet verzamelen. Maar waarvoor? Waar wil je deze data voor gebruiken?

Voor troubleshooting. Wanneer iemand belt met een probleem heb ik nu met een klik van de muis de beschikking over alle courante en relevante hardware (incl. status), software en netwerk informatie van het betreffende systeem.

Wanneer ik deze data in de context kan plaatsen van de gebruikers-informatie dan wordt het plaatje nog completer. Ik zou dan bijvoorbeeld kunnen zien of de printer wel goed geïnstalleerd is voor de betreffende gebruiker en zien of er bijvoorbeeld problemen zijn met het lokale gebruikersprofiel.

[CMD-Snake]

Je zou het script eventueel remote kunnen draaien als iemand belt. Dan draait het onder jouw account zonder problemen.

[Rolfie]

Kan je dit niet direct met VBS of een powershell scriptje doen?

[alt-92]

D'r zijn inderdaad methodes die een stuk goedkoper zijn (lees: effectiever en minder expliciete rechten vereisen).

WMIC is de console app en die vereist inderdaad administrative privileges.

last logon, password age haal je uit AD en niet met WMI uit de client...

[Razwer]

bovendien heb je hier tools voor ala SCCM, Kaseya etc.