Como tornar o servidor de CI para executar o script powershell no servidor remoto

Question

Nós usamos o TeamCity como servidor de CI. Em nosso pipeline de construção, precisamos em algum momento executar um script powershell, que aplica um ponto de verificação a determinadas máquinas virtuais hospedadas no servidor Hyper-V dedicado.

Os agentes do TeamCity funcionam como usuário especial. Vamos chamar essa conta do TCAgent. Sua senha é compartilhada entre muitas pessoas. Para permitir que este usuário execute o script powershell no servidor Hyper-V, preciso permitir que esse usuário faça o login no servidor, o que é altamente inseguro.

Então, eu preciso que o usuário TCAgent consiga executar determinado script no servidor, mas não mais. Como posso conseguir isso?

    

Answer 1

Na política de grupo local (gpedit.msc) ou em uma política de grupo real, você pode definir essas configurações.

Computer Configuration > Windows Settings > Security Settings > Local Policies > Users Right Assignment > Deny Log on Locally

Deny log on locally

This security setting determines which users are prevented from logging on at the computer. This policy setting supersedes the Allow log on locally policy setting if an account is subject to both policies.

Important

If you apply this security policy to the Everyone group, no one will be able to log on locally.

Default: None.

Computer Configuration > Windows Settings > Security Settings > Local Policies > Users Right Assignment > Log on as a Batch Job

Log on as a batch job

This security setting allows a user to be logged on by means of a batch-queue facility and is provided only for compatibility with older versions of Windows.

For example, when a user submits a job by means of the task scheduler, the task scheduler logs that user on as a batch user rather than as an interactive user.


Default: Administrators
Backup Operators.

essas duas configurações devem cumprir o que você deseja fazer.