PDA

Показать полную графическую версию : [решено] Группа, используемая только для запрета


The_Immortal
23-10-2015, 10:43
Всех приветствую!

На клиентской ОС, включенной в домен, добавляю доменного пользователя в группу Администраторы.

После подключаю сетевой диск (Z) и выполняю в cmd следующее (параметры команды урезаны):
Z:\amd64\scanstate
Failed.
Administrator privileges are required to run this tool.Делаю я это не первый раз, но почему-то именно на этой машине такая реакция: "Administrator privileges are required to run this tool".

Тогда я запросил whoami /groups для текущего пользователя:Сведения о группах
-----------------

Группа Тип SID Атрибуты
=============================================== ======================= ============ =============================================================
Все Хорошо известная группа S-1-1-0 Обязательная группа, Включены по умолчанию, Включенная группа
BUILTIN\Администраторы Псевдоним S-1-5-32-544 Группа, используемая только для запрета
BUILTIN\Пользователи Псевдоним S-1-5-32-545 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\ИНТЕРАКТИВНЫЕ Хорошо известная группа S-1-5-4 Обязательная группа, Включены по умолчанию, Включенная группа
КОНСОЛЬНЫЙ ВХОД Хорошо известная группа S-1-2-1 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Прошедшие проверку Хорошо известная группа S-1-5-11 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Данная организация Хорошо известная группа S-1-5-15 Обязательная группа, Включены по умолчанию, Включенная группа
ЛОКАЛЬНЫЕ Хорошо известная группа S-1-2-0 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Проверка подлинности NTLM Хорошо известная группа S-1-5-64-10 Обязательная группа, Включены по умолчанию, Включенная группа
Обязательная метка\Средний обязательный уровень Метка S-1-16-8192

Очень смутил атрибут "Группа, используемая только для запрета". Может ли быть в этом проблема?

Спасибо!


P.S. Я могу запускать cmd дополнительно "от имени администратора", но в этом случае не виден подключенный сетевой диск Z.


UPD: в общем, использовал следующий вариант: запустил cmd от имени администратора, выполнил net use, присоединив сетевой диск, а потом уже выполнял команды с сетевого диска - всё заработало.

Но хотелось бы знать в чём может быть проблема? Повторюсь, ранее такого не наблюдалось. UAC, кстати, отключал. И всё жё нормальна ли формулировка атрибута "Группа, используемая только для запрета" для администратора?

Казбек
23-10-2015, 15:44
И всё жё нормальна ли формулировка атрибута "Группа, используемая только для запрета" для администратора? »
Так отображается, когда вы запускаете командную строку(whoami /group) без повышение прав. Запустите с повышением прав и будет отображаться как надо.

С повышенными правами(от имени Администратора):
http://i.imgur.com/oLeYgyN.png
Без повышенных прав:
http://i.imgur.com/hognbRB.png

The_Immortal
23-10-2015, 15:54
Казбек, у меня на другой машине добавлен тот же пользователь в группу Администраторы. Когда я там запускаю whoami /group (без повышение прав), то выдается:
http://i.imgur.com/oLeYgyN.png

На проблемной же машине всё аналогично, но там получается так: http://i.imgur.com/hognbRB.png

Почему?

Казбек
23-10-2015, 15:57
На проблемной же машине всё аналогично, но там получается так: »
Даже если с повышенными правами?
Покажите полностью все окно, где вы выполняете команды.( и с проблемной машины, и с вашей)

The_Immortal
23-10-2015, 16:30
Казбек, Даже если с повышенными правами? »Нет, с повышенными правами всё хорошо :)

В общем, смотрите.

На моей машине запускаю whoami /group через cmd обычным образом (без повышение прав) от доменного пользователя, который входит в группу Администраторы:
Сведения о группах
-----------------

Группа Тип SID Атрибуты
=============================================== ======================= ============ ==============================================================================
Все Хорошо известная группа S-1-1-0 Обязательная группа, Включены по умолчанию, Включенная группа
BUILTIN\Администраторы Псевдоним S-1-5-32-544 Обязательная группа, Включены по умолчанию, Включенная группа, Владелец группы
BUILTIN\Пользователи Псевдоним S-1-5-32-545 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\ИНТЕРАКТИВНЫЕ Хорошо известная группа S-1-5-4 Обязательная группа, Включены по умолчанию, Включенная группа
КОНСОЛЬНЫЙ ВХОД Хорошо известная группа S-1-2-1 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Прошедшие проверку Хорошо известная группа S-1-5-11 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Данная организация Хорошо известная группа S-1-5-15 Обязательная группа, Включены по умолчанию, Включенная группа
ЛОКАЛЬНЫЕ Хорошо известная группа S-1-2-0 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Проверка подлинности NTLM Хорошо известная группа S-1-5-64-10 Обязательная группа, Включены по умолчанию, Включенная группа
Обязательная метка\Высокий обязательный уровень Метка S-1-16-12288


На проблемной машине выполняю аналогичные действия от такого же пользователя (который также входит в группу Администраторы):

Сведения о группах
-----------------

Группа Тип SID Атрибуты
=============================================== ======================= ============ =============================================================
Все Хорошо известная группа S-1-1-0 Обязательная группа, Включены по умолчанию, Включенная группа
BUILTIN\Администраторы Псевдоним S-1-5-32-544 Группа, используемая только для запрета
BUILTIN\Пользователи Псевдоним S-1-5-32-545 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\ИНТЕРАКТИВНЫЕ Хорошо известная группа S-1-5-4 Обязательная группа, Включены по умолчанию, Включенная группа
КОНСОЛЬНЫЙ ВХОД Хорошо известная группа S-1-2-1 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Прошедшие проверку Хорошо известная группа S-1-5-11 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Данная организация Хорошо известная группа S-1-5-15 Обязательная группа, Включены по умолчанию, Включенная группа
ЛОКАЛЬНЫЕ Хорошо известная группа S-1-2-0 Обязательная группа, Включены по умолчанию, Включенная группа
NT AUTHORITY\Проверка подлинности NTLM Хорошо известная группа S-1-5-64-10 Обязательная группа, Включены по умолчанию, Включенная группа
Обязательная метка\Средний обязательный уровень Метка S-1-16-8192

Казбек
23-10-2015, 16:52
На проблемной машине выполняю аналогичные действия от такого же пользователя (который также входит в группу Администраторы): »
На проблемной машине выполняется так, как должно на всех стандартных системах.
На моей машине запускаю whoami /group через cmd обычным образом (без повышение прав) от доменного пользователя, который входит в группу Администраторы: »
Сделайте мне скрин полностью этого окна, полностью. Спасибо.

The_Immortal
23-10-2015, 17:06
Казбек, На проблемной машине выполняется так, как должно на всех стандартных системах. »Это когда UAC настроен на умолчание. У меня же он и там, и там выключен.

Сделайте мне скрин полностью этого окна, полностью. Спасибо. »http://content.screencast.com/users/The_Immortal/folders/Snagit/media/e7932e45-2708-430b-8422-5a0678360a14/10.23.2015-17.05.png

Казбек
23-10-2015, 17:20
The_Immortal,
Теперь посмотрите на заголовок вашего окна, первое слово там: Администратор. Это и есть ответ на ваш вопрос. Значит строка уже запущена с повышенными правами.

The_Immortal
23-10-2015, 17:25
Казбек, спасибо за разъяснения!

В общем, проблема на изначальном компьютере была в локальной политике - был активен параметр "Контроль учетных записей: включение режима одобрения администратором".

Казбек
23-10-2015, 17:30
был активен параметр »
Он по умолчанию включен. Я так понимаю, что у вас он был выключен, поэтому и запроса на повышение прав не поступало.

The_Immortal
23-10-2015, 17:48
Казбек, Я так понимаю, что у вас он был выключен, поэтому и запроса на повышение прав не поступало. »Всё именно так, только с точностью наоборот :) Когда данный параметр выключен, то всё автоматически выполняется в режиме "повышения прав" - без дополнительного запроса. На проблемной же машине он у меня был включен - поэтому и была необходимость запрашивать повышение прав.
А по умолчанию да, данный параметр активен.




© OSzone.net 2001-2012