offscrub07.vbs não pode acessar o registro quando executado como parte de um script de inicialização

Question

Estou criando um script para automatizar uma implantação do Office 2010. O Office 07 não foi instalado de maneira a fornecer um caminho de atualização limpo e, na tentativa de fazer as coisas da maneira certa, estou limpando com o offscrub07. script vbs fornecido pela Microsoft.

Por algum motivo, quando executado como parte do script de inicialização, ele gera o erro "Permissão de acesso insuficiente ao registro":

IssoestáfazendocomqueoscriptsaiasemremoveroOffice07.Aquiestáotrechodecódigoqueestáchamandooscriptvb.

callcscript"%DeployServer%\Offscrub07.vbs" ProPlus /bypass 1 /q /s /NoCancel

O instalador do Office 2010 é iniciado como parte do mesmo script e é bem-sucedido em uma máquina de teste limpa, portanto, parece que ele deve ter privlégios suficientes. Lembrei-me de ler que o UAC pode impedir a execução de alguns scripts de logon, mas não consigo encontrar em nenhum lugar que isso se aplique aos scripts de inicialização.

Existe uma configuração de GPO que preciso alterar para permitir que scripts chamados sejam executados com privilégios elevados ou outra maneira de fazer isso. Eu estou preso com um caso de não saber o que eu não sei e meu google-fu está falhando comigo.

    

Answer 1

Demorou um pouco, e ficaria assim que eu fizesse uma pergunta que eu encontraria em breve uma resposta.

Apenas o script atribuído explicitamente como parte do GPO é executado com privilégios elevados. As chamadas para outros scripts são executadas como a conta de administrador interna, mas geram uma solicitação do UAC que falha automaticamente porque nenhum usuário está conectado para solicitar.

Para processar chamadas externas, a conta de administrador interna deve poder elevar sem avisar. Essa configuração pode ser alterada no seguinte local:

Configuração do Computador | Políticas | Configurações do Windows | Configurações de segurança | Políticas Locais | Opções de segurança | Controle de Conta de Usuário: Modo de Aprovação de Administrador para a conta de Administrador Interno: Desativado

Estranhamente, desabilitado é o padrão, mas não funciona a menos que seja configurado manualmente.