GPO Berechtigung setzen über BAT oder Delphi

[berens]

Hallo zusammen!

Mein Programm richtet auf Wunsch für jeden Wochentag einen Task in Windows ein, der eine .bat Datei aufruft in der aktuell steht:

Code:

shutdown -s -f -t 15

(Erzwungender Shutdown in 15 Sekunden)

Problem ist, wenn der Benutzer (z.B. in einer Domäne) nicht bei der Gruppenrichtlinie eingetragen ist: Computerkonfiguration --> Windows-Einstellungen --> Sicherheitseinstellungen --> Lokale Richtlinien --> Zuweisen von Benutzerrechten: "Herunterfahren des Systems" UND "Erzwingen des Herunterfahrens von einem Remotesystem aus", klappt es nicht, denn der Shutdownbefehl wird -auch wenn lokal ausgeführt- als Remotebenutzer angesehen. Somit muss der Benutzer in diesen Gruppen sein, bzw. bei diesen genannten Punkten gelistet sein.

Ich würde gerne den Installationsaufwand verringern, und zumindest in die lokale Richtlinie (wenn also von der Domäne nichts anderes vorgegeben ist) den aktuellen Benutzer oder "Jeder" hinzufügen (mit Bestätigung des Admins oder manuelles ausführen einer .bat Datei): Denn bei "Erzwingen ..." steht normalerweise nur "Administratoren" drin, und das sind ja nur die wenigsten Benutzer.

Wie kann ich das automatisieren?

Habe schon mit "RegShot" versucht, Änderungen an der Registry nach hinzufügen von "Jeder" zu finden, habe aber nichts sinnvolles feststellen können.

Vielen Dank!

[Luckie]

Das Programm shutdown.exe benötigt Administratorenrechte. Aber wenn man einen Task hinzufügt, kann man doch angeben unter welchen Benutzerkonto das Programm ausgeführt werden soll.

Das Aufweichen von Benutzergruppen halte ich nicht für eine gute Lösung.

[berens]

Das ist natürlich auch keine verkehrte Idee. Das Problem ist nur, beim Task muss ja dann die "Zugangsdaten" von jemandem mit Administratorrechten eingeben. Entweder muss noch ein zusätzlicher Funktionsuser (-admin) her (noch bedeutend mehr Aufwand), oder ich kann es mal mit dem Benutzer-Konto "SYSTEM" versuchen. Vielleicht klappt das ja.

Danke schonmal für die Antwort, für Alternativvorschläge (falls das mit SYSTEM nicht klappt) bin ich natürlich auch dankbar. :thumb:

[Luckie]

Äh, auf jeden Rechner gibt es mindestens ein Adminstratorenkonto. Warum noch eins anlegen. Und wenn der Administrator das Programm installiert, sollt er auch seine Zugangsdaten kennen.

[berens]

Zitat:

Und wenn der Administrator das Programm installiert, sollt er auch seine Zugangsdaten kennen.

Der Domänen- oder OU-Admin kennt natürlich seine Daten und könnte Sie auch hinterlegen, aber wenn er sein Passwort ändert, klappt ja dann der Task nimmer, oder?

Egal, denn die Idee stimmt:

Zitat:

auf jeden Rechner gibt es mindestens ein Adminstratorenkonto

Ich kann ja einfach das lokale Admin-Konto nehmen, das ist ja kein Problem.

Danke für die Denkanstöße, an solchen Tagen (die mit Kaffeeentzug) braucht mal die halt :-D