Sur un serveur 2008 R2, j'ai une tâche Windows qui exécute un script PowerShell. Elle fonctionne bien lorsqu'elle est configurée dans le planificateur de tâches pour s'exécuter en tant que compte Admin, mais j'aimerais la configurer pour qu'elle s'exécute plutôt en tant que compte Windows Local Service, car j'ai lu que c'est considéré comme une meilleure pratique de sécurité puisque Local Service a des privilèges très limités.
Lorsque vous utilisez le compte de service local, la tâche elle-même semble exécuter le script PowerShell avec succès selon le journal de l'historique dans le planificateur de tâches. Mais le script PowerShell ne produit pas de fichier texte comme il est conçu pour le faire, ce qui me laisse penser que peut-être le PowerShell.exe lui-même s'est exécuté, mais que le script a été bloqué pour une raison quelconque.
Dans le planificateur de tâches, j'ai réglé la tâche sur "Exécuter avec les privilèges les plus élevés" et j'ai pensé que c'était tout ce dont j'avais besoin pour qu'elle s'exécute correctement...
Comment puis-je faire en sorte que cette tâche PowerShell s'exécute avec succès ? Ou devrais-je simplement créer un compte de service de domaine Windows pour exécuter cette tâche à la place ?
0 votes
Où le script écrit-il la sortie ? Essayez-vous d'écrire sur le réseau ou autre ? Vous n'aurez probablement pas d'accès au réseau en tant que ce compte, mais beaucoup d'accès au système local.
0 votes
Le script écrit la sortie sur le lecteur C : local... Et pour clarifier, j'essaie d'utiliser "Local Service", pas "Local System". Le système local fonctionne certainement, mais je voudrais l'éviter car il a des privilèges d'administrateur.
0 votes
Est-ce que le compte sous lequel vous l'exécutez a les droits d'écriture sur le chemin où vous essayez d'écrire ? Le compte dispose-t-il de suffisamment de privilèges pour exécuter les commandlets que vous essayez d'exécuter ?
0 votes
Ah, merci Zoredache... En effet, le compte Service local n'est pas répertorié comme ayant des droits sur le lecteur C :. En revanche, le compte système est répertorié et dispose bien sûr de toutes les autorisations. Il semblerait que je doive accorder au compte Service Local des droits de lecture/écriture sur le lecteur C :. Mais nous voulons éviter cela et nous envisageons donc de créer notre propre compte de service personnalisé pour exécuter cette tâche, en lui accordant uniquement les autorisations minimales dont il a besoin pour faire son travail, conformément aux meilleures pratiques. Merci encore.
0 votes
J'ai également appris que le paramétrage de la tâche Windows pour "Exécuter avec les privilèges les plus élevés" comporte certaines réserves : social.technet.microsoft.com/Forums/Windows/en-US/