Permissão para consultar o WMI

Question

Eu tenho um projeto para remover os direitos de administrador de nossos usuários. Um aplicativo que usamos, durante as atualizações, executa uma consulta no WMI:

Namespace: root\Microsoft\sqlserver\computermanagement10
Class: sqlserviceadvancedproperty

Desde que removi os direitos de administrador do usuário, ele não retorna nenhum dado ao consultar esse namespace e classe e, portanto, falha na instalação, dizendo que a versão apropriada do SQL Server não está instalada.

Eu tentei adicionar permissões ao namespace de cima para baixo e sem sorte. Se eu adicionar direitos de administrador de volta à conta de usuário no dispositivo, a consulta funcionará novamente.

Estou usando o powershell para testar:

gwmi -namespace root\Microsoft\sqlserver\computermanagement10 -class sqlserviceadvancedproperty

Quando executo isso sem direitos de administrador, não há erro nem nada. Apenas retorna null e me retorna ao prompt de comando. Corri com direitos de administrador, recebo um monte de dados.

Alguém tem alguma idéia de quais itens específicos no Windows um usuário precisa acessar para poder consultar um namespace específico do WMI?

    

Answer 1

Tanto quanto eu posso dizer, estes são os locais necessários para a permissão:

• C: \ Windows \ System32 \ WBEM

• HKLM \ SOFTWARE \ Microsoft \ WBEM

• permissões apropriadas no Gerenciamento WMI (wmimgmt.msc)

Esta informação não aparece para ajudar com o meu OP. Eu não obtenho resultados da mesma consulta enquanto estiver logado como administrador local depois de verificar isso.

Acontece que eu perdi uma conta ao adicionar permissões ao serviço MSSQLSERVER no meu GPO. A conta interna "SERVICE" deve ter permissão de Leitura para o serviço, ou você não poderá consultar essa classe WMI. Se você fizer

sc sdshow mssqlserver 

a partir de uma linha de comando, o SDDL para "SERVICE" deve ficar assim:

(A;;CCLCSWLOCRRC;;;SU)

Se você tiver que lidar com strings SDDL, acho que elas são muito úteis:

• Defina permissões em um serviço específico (Windows )
• SID Strings