محدود کردن یوزر Administrator !

[B]یکی بدترین کابوس های ادمین‌های سیستم‌های ایرانی، نرم‌افزارها ایرانی و در راسشون سیستم‌های مالی و حسابداری هستن !!!

اکثر غریب به اتفاق نرم‌افزارهای حسابداری برای اینکه کار کنن، باید تحت لوای یوزر با دسترسی Administrator کار کنن ...



حالا مشکل


یک شبکه‌ای داریم که 10 یوزر هستن که یک نرم‌افزار حسابداری دارن که باید اون یوزرها حتماً Local Admin باشن و الا نرم‌افزار کار نمیکه !‌ (جالبه که نرم‌افزار کلاینت و سرور داره ولی باز اون کلاینت باید Local Admin‌ باشه !!! :(:()



حالا میخواییم یک کاری کنیم که این یوزر ها کارهای ادمینی نتونن بکنن؛

نتونن نرم‌افزار نصب کنن آن اینستال کنن !!
نتونن فایل Share کنن !!
نتونن آی پی کامپیوتر رو عوض کنن !!



شاید یک سری از این کارها رو بشه با Group Policy میشه انجام داد
شاید یک سری از این کارها رو هم بشه با یک سری نرم‌افزار خاص انجام داد
شاید یک سری رو هم بشه با انگولک توی رجیستری ردیف کرد




ولی من دنبال یک Best Practice میگردم



کسی تجربه‌ای، چیزی نداره توی این مورد که بتونه کمک حال باشه ؟!!!


بهترین روش چی هست ؟!



[/B]

برنامه مورد نظر برای اجرا شدن احتمالا نیاز دارد به بخش خاصی از سیستم دسترسی داشته باشد که به صورت پیش فرض کاربران عادی به آن دسترسی ندارند.
راه حل ساده که احتمالا شرکت ارائه کننده نرم افزار اعلام کرده، اینست که کاربر باید Admin باشد. ولی این بهترین راه حل نیست.
بهترین راه حل اینست که دقیق تر بررسی شود و فقط دسترسی مورد نیاز به کاربر داده شود و عضو گروه Administrators نشود.
[url]http://en.wikipedia.org/wiki/Principle_of_least_privilege[/url]

شاید این دسترسی در حد داشتن دسترسی کامل به مسیر نصب نرم افزار، داشتن دسترسی کامل به مسیر ذخیره سازی فایل های موقت و ... باشد.

من هم در شبکه ای همجین مشکلی داشتم.
شما در ابتدا باید دسترسی administrator رو از کاربرهات قطع کنی و کاربرهات رو عضو گروه users بکنی.
البته برنامه حسابداری این شبکه رو خودم نوشته بودم . جون نیاز بود برنامه تحت مد administrator اجرا بشه تو سورس برنامم برنامه رو در یوزر محدود اما با دسترسی یوز admin اجرا میکردم.
به همین راحتی.

اگه برنامه Sg باشه راحل داره

[QUOTE][COLOR=#333333]اگه برنامه Sg باشه راحل داره[/COLOR][/QUOTE]
یعنی چی؟

[QUOTE=Hakimi;355740]برنامه مورد نظر برای اجرا شدن احتمالا نیاز دارد به بخش خاصی از سیستم دسترسی داشته باشد که به صورت پیش فرض کاربران عادی به آن دسترسی ندارند.
راه حل ساده که احتمالا شرکت ارائه کننده نرم افزار اعلام کرده، اینست که کاربر باید Admin باشد. ولی این بهترین راه حل نیست.
بهترین راه حل اینست که دقیق تر بررسی شود و فقط دسترسی مورد نیاز به کاربر داده شود و عضو گروه Administrators نشود.

شاید این دسترسی در حد داشتن دسترسی کامل به مسیر نصب نرم افزار، داشتن دسترسی کامل به مسیر ذخیره سازی فایل های موقت و ... باشد.[/QUOTE]


[B]
دقیقاً درست میگی و خیلی جاها کارت رو راه میندازه

منتهای مراتب مشکل اینه که شرکت‌های ارائه کننده یک دستورالعمل دقیق از پرمیشن‌هایی که باید بدی ارائه نمیکنن و همه چی وابسته به سعی و خطا هستش



و بعضی وقت‌ها هم به هیچ صراطی مستقیم نیستن !

با یک سری آنتی ویروس‌ها مثل کاسپراسکی که میاد یک سلسله محدودیت رو اعمال میکنه و تغییر محدودیت هم فقط از طریق کنسول ادمین صورت میگیره میشه یک کارهایی کرد

میخوام بدونم یک همچین تیپ سولوشن جامعی وجود داره یا نه؟![/B]

[QUOTE=hamed_mhk;355862][B]
دقیقاً درست میگی و خیلی جاها کارت رو راه میندازه

منتهای مراتب مشکل اینه که شرکت‌های ارائه کننده یک دستورالعمل دقیق از پرمیشن‌هایی که باید بدی ارائه نمیکنن و همه چی وابسته به سعی و خطا هستش



و بعضی وقت‌ها هم به هیچ صراطی مستقیم نیستن !

با یک سری آنتی ویروس‌ها مثل کاسپراسکی که میاد یک سلسله محدودیت رو اعمال میکنه و تغییر محدودیت هم فقط از طریق کنسول ادمین صورت میگیره میشه یک کارهایی کرد

میخوام بدونم یک همچین تیپ سولوشن جامعی وجود داره یا نه؟![/B][/QUOTE]

از تولید کننده های نرم افزار نمی توان چنین انتظاری داشت. این مشکل فقط متعلق به ما نیست. همه دنیا با این موضوع مشکل دارند. راهش این است که با آزمون و خطا و با ابزارهای کمکی سعی کرد تا سطح دسترسی مورد نیاز یک نرم افزار مشخص شود و بر اساس آن دسترسی مورد نیاز به کاربران داده شود.
یادم هست که Microsoft چند سال پیش یک ابزار برای Windows XP ارائه کرده بود که کمک می کرد تا دسترسی های مورد نیاز یک برنامه مشخص شود. متاسفانه حافظه ام یاری نمی کند نامش چه بود. (البته می توانید اینطور برداشت کنید که چون کارایی مناسب نداشت از آن هیچگاه استفاده نکرده ام!)

اگه واقعا نیاز به این مدل برنامه دارید بفرمایید تا براتون بنویسم.
برنامه ای که در مد users اجرا بشه و بتونه برنامه ای رو در مد administrator اجرا کنه.

[QUOTE=Gold_;355906]اگه واقعا نیاز به این مدل برنامه دارید بفرمایید تا براتون بنویسم.
برنامه ای که در مد users اجرا بشه و بتونه برنامه ای رو در مد administrator اجرا کنه.[/QUOTE]

هدف این نیست که برنامه با سطح دسترسی Administrator اجرا شود. هدف این است که کاربر بدون نیاز به سطح دسترسی Administrator بتواند برنامه را با سطح دسترسی خودش اجرا کند.
برای اجرا کردن برنامه با سطح دسترسی Administrator توسط کاربر ساده، راه های مختلفی وجود دارد. از جمله:
[url=http://robotronic.de/runasspcEn.html]Runas Password[/url]

منظورم از sg برنامه همکاران سیستم.
یک پیشنهاد که من برای یک برنامه جسابداری بسیار بسیار .... ( البته از نظر admin شبکه) انجام میدم و فکر کنم همه جا درست کار میکنه:
اگه برنامه نصبی هستش، اون کاربری که می خواد از سیستم استفاده کنه رو local admin کن، برنامه رو نصب کن، بعد از ادمین خارجش کن.
اتفاقی که میوفته اینه که تمام فایلهای که موقع نصب کپی میشه ownerش میشه کاربر و owner همیشه full کنترل.

[B]خدمت برادر مسعود عرض کنم که این کاری که شما میگیی تقریباً همون کاریه که برادر حکیمی گفتن به یک روش دیگه
شما موقع ساختن قضیه Ownership‌ رو حل میکنی
ایشون بعد از ساخت که خب من هم معمولاً بعد از ساخت این کار رو میکنم
خیلی هم فرقی نداره



من سوالم بیشتر روی این قضیه هستش که آیا یک سولوشن وجود داره که فکر کنم این چیزی که برادر حکیمی معرفی کردن، دقیقاً همونیه که من میخوام

یعنی یه نرم‌افزار که Credential یوزر ادمین رو ذخیره کنه توی خودش و نرم‌افزارهایی که میخواییم Run as Admin باشن به واسطه اون اجرا شن و به یوزر دسترسی بیشتر از اونی که نمیخواییم ندیم !


[/B]

ميشه يك batch file بنويسيد با دستور runas كه use&pass داخلش داشته باشه بعد با يك برنامه اون فايل به exe تبديل كنيد.
مثلا Bat To Exe-Converter
[url=http://www.f2ko.de]f2ko.de[/url]

[B]آقا ایــــــــــــول!

بسیار ایده خوبیه این که گفتی ! چرا به ذهن خودم نرسید ؟!!!!



یه چیزی ....
این سایتی که معرفی کردی عجب چیزای خوبی داره !
کلی اسکریپت خوب توش هست
بد نیست یه جا معرفی کنی که به کار باقی هم بیاد !!!

[/B]

از برنامه Key Logger هم می تونی استفاده کنی تا حتی دسترسی به بک گراند هم توش قابل تنظیم هست!

[QUOTE=hellion_m;356041]ميشه يك batch file بنويسيد با دستور runas كه use&pass داخلش داشته باشه بعد با يك برنامه اون فايل به exe تبديل كنيد.
مثلا Bat To Exe-Converter
[URL="http://www.f2ko.de"]f2ko.de[/URL][/QUOTE]

این کار یک تالی فاسد به همراه دارد و آن اینست که شما با این کار، برنامه ای را Run As می کنید. مثلا notepad.exe را. بنده برنامه دلخواه خودم (مثلا mmc.exe یا cmd.exe !) را Rename می کنم به notepad.exe و به جای notepad.exe قرار می دهم و در نتیجه همه فعالیت های دلخواهم را با سطح دسترسی Administrator انجام می دهم.
برای جلوگیری از چنین کاری، می بایست از ابزاری مانند آن چه بالاتر معرفی کردم استفاده کرد که اجازه چنین سوء استفاده ای داده نشود.
[URL]http://forum.persiannetworks.com/f78/t52281.html#post355908[/URL]