Prozess als "Original User" starten

[BlueStarHH]

Hallo,

mein Delphi Programm fordert direkt beim Start per Manifest Amin-Rechte an. Das braucht das Programm aus bestimmten Gründen. Nun möchte ich, dass dieser Prozess eine EXE-Datei startet. Diese soll nun aber nicht auch mit Admin-Rechten gestartet werden, sondern mit den rechten des "Original User". Also der User, der beim Start meines Delphi-Programms eingeloggt war.

Ich starte die neue EXE mit ShellExecuteEx. Doch leider wird dabei der neue Prozess ebenfalls mit Admin-Rechten gestartet.

(Dass mein Problem gelößt werden kann, zeigt z.B. Inno-Setup. Da gibt es den Befehl ExecAsOriginalUser.)

[jaenicke]

Dafür lässt du den ursprünglichen Prozess weiterlaufen, damit der Adminprozess diesem dann Bescheid geben kann, dass er die gewünschte Exe starten soll.

So macht das InnoSetup auch, weshalb das auch schiefgeht, wenn der ursprüngliche Prozess in der Zwischenzeit abgeschossen wurde oder abgestürzt ist.

Das funktioniert natürlich nicht, wenn die Anforderung direkt per Manifest passiert. Dann hast du die Information über den startenden Benutzer nicht. Dann bleibt nur die angemeldeten Nutzer zu durchsuchen und den richtigen zu finden (oder zu tricksen, indem man z.B. den Taskscheduler dafür verwendet).

[peterbelow]

Zitat:

Zitat von BlueStarHH (Beitrag 1528425)

Hallo,

mein Delphi Programm fordert direkt beim Start per Manifest Amin-Rechte an. Das braucht das Programm aus bestimmten Gründen. Nun möchte ich, dass dieser Prozess eine EXE-Datei startet. Diese soll nun aber nicht auch mit Admin-Rechten gestartet werden, sondern mit den rechten des "Original User". Also der User, der beim Start meines Delphi-Programms eingeloggt war.

Ich starte die neue EXE mit ShellExecuteEx. Doch leider wird dabei der neue Prozess ebenfalls mit Admin-Rechten gestartet.

(Dass mein Problem gelößt werden kann, zeigt z.B. Inno-Setup. Da gibt es den Befehl ExecAsOriginalUser.)

Das API kennt ein CreateProcessAsUser. Das Problem ist da den richtigen User zu finden...

[himitsu]

Das einfachste wäre, wenn dein Programm normal startet und dann einen Thread SubProzess als "admin" startet, nur kurz, so lange für die Aktion nötig.

Den CreateProcess bzw. CreateProcessAsUser kann man mitgeben, wie sie was starten soll (falls man dort nicht nil angibt)

Entweder vor dem Start merken, wie das non-elevated-Token aussieht
oder Dieses vom aktiven User (aktive Terminal-Session) abfragen
und dann im "admin" dieses Token (Rechte) für den Start des "non-admin" benutzen.

https://stackoverflow.com/questions/...-admin-process
https://learn.microsoft.com/en-us/an...rivileges-from
...



Beim ShellExecute vielleicht mal "runasuser" anstatt "runas" als Operation probieren.