Elevated Programm soll Funktion non-elevated ausführen

[CodeX]

Ich möchte aus einem Programm, das unter Vista oder Win7 elevated (also mit Admin-Rechten läuft) eine Funktion ausführen, die NICHT elevated ist. Das brings zwar keine Sicherheitsbedenken mit sich (ich möchte ja weniger Rechte und nicht mehr...) aber das funktioniert dann wohl doch nicht so einfach.

Auf eine extra-Exe Datei, wo die Funktionen entsprechend ausgelagert sind, sollte möglichst verzichtet werden.

Wahrscheinlich ist eine Lösung mit JWSCL irgendwie möglich. Aber ich habe keinen Ansatzpunkt gefunden. Bin für jede Hilfe dankbar.

[Apollonius]

In deinem eigenen Prozess wird das nicht gehen. Du kannst zwar einem einzelnen Thread ein eingeschränktes Token zuweisen (Impersonation), aber dieser Thread kann jederzeit RevertToSelf aufrufen und damit wieder das Prozess-Token erhalten.

[CodeX]

Ich habe jetzt nochmal mit Tokens herumgespielt.
Ich bin mir nach wie vor nicht sicher, wie ich das Token des eigenen Prozesses im non-elevated Status bekomme, wenn er gerade elevated läuft. Ich nehme jetzt einfach das Token des Explorers. Das hat jetzt in allen Tests funktioniert. Ob das allerdings die beste Lösung ist, weiß ich nicht...

Delphi-Quellcode:

var
  ExplorerToken : TJwSecurityToken;
begin
  ExplorerToken := TJwSecurityToken.CreateCompatibilityQueryUserToken(MAXIMUM_ALLOWED, 'explorer.exe');
  TJwAutoPointer.Wrap(ExplorerToken);

  ExplorerToken.ImpersonateLoggedOnUser;

  //do stuff

  ExplorerToken.RevertToSelf;
end;

Bei besseren Ideen, bitte Bescheid geben.

[Apollonius]

Du könntest auch dein eigenes Token nehmen und eine eingeschränkte Version davon erstellen (CreateRestrictedToken), aber das ist ziemlich kompliziert, weil du die richtigen Rechte entfernen musst - insofern scheint mir dein Versuch eine gangbare Lösung zu sein.

[himitsu]

och, dann starte ich mir einfach eine explorer.exe mit Adminrechnten