Existe-t-il un moyen de définir l'accès à WMI à l'aide de GroupPolicy ?

J'ai fait quelques recherches à ce sujet et il semble que la méthode ci-dessous devrait fonctionner :

Pour Windows 2003 avec Group Policy Management Console (GPMC), effectuez les étapes suivantes :

1. に移動します。 Start Menu > Administrative Tools > Group Policy Management .
2. Dans le volet de gauche, naviguez jusqu'à Forest : Domain Name -> Domains -> Domain Name où Nom de domaine est le nom du domaine que vous souhaitez modifier.
3. Cliquez avec le bouton droit de la souris sur Domain Name dans le volet de gauche et sélectionnez Create and Link a GPO Here .
4. Nommez la nouvelle politique WMI Permissions .

NOTE : Comme WMI doit établir une connexion DCOM avec l'hôte distant, cela suffit pour configurer les autorisations d'accès à DCOM.

Configuration des permissions du modèle d'objet de composant distribué (DCOM) :

1. Naviguez jusqu'au WMI Permissions la politique de groupe, soit par the Group Policy Management ou par le plug-in ADUC plug-in.
2. Assurez-vous que le WMI Permissions est en surbrillance et cliquez sur le bouton Edit bouton.
3. に移動します。 Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options .
4. Dans le volet droit de l'interface utilisateur, double-cliquez sur DCOM: Machine Access Restrictions in Security Descriptor Definition Language (SDDL) syntax .
5. Cochez la case à côté de Define this policy setting .
6. Cliquez sur le Edit Security bouton.
7. Cliquez sur le Add Dans la fenêtre contextuelle qui s'affiche, indiquez le compte d'administrateur de domaine qui sera utilisé.
8. Cliquez sur OK.
9. Dans le Group or user names sélectionnez l'administrateur de domaine que vous avez spécifié à l'étape 7.
10. Dans le Permissions for Administrators assurez-vous qu'il y a une coche dans le champ Allow pour la colonne Remote Access option.
11. Cliquez sur OK.
12. Cliquez sur OK.
13. Dans le volet droit de l'interface utilisateur, double-cliquez sur DCOM: Machine Launch Restrictions in Security Descriptor Definition Language (SDDL) syntax .
14. Cochez la case à côté de Define this policy setting .
15. Cliquez sur le Edit Security bouton.
16. Cliquez sur le Add Dans la fenêtre contextuelle qui s'affiche, indiquez le compte d'administrateur de domaine qui sera utilisé.
17. Cliquez sur OK.
18. Dans la zone Noms de groupe ou d'utilisateur, sélectionnez l'administrateur de domaine que vous avez indiqué à l'étape 16.
19. Dans le Permissions for Administrators assurez-vous qu'il y a une coche sous le champ Allow pour les deux Remote Launch y Remote Activation .
20. Cliquez sur OK.
21. Cliquez sur OK.
22. Fermer le Group Policy Object Editor fenêtre.
23. Cliquez sur OK et fermez la fenêtre Active Directory Users and Computers fenêtre.

Référencement https://answers.splunk.com/answers/2703/how-to-enable-wmi-data-collection-on-a-domain-server.html

Pour l'instant, il n'existe pas de moyen non ésotérique de configurer globalement WMI à l'échelle du domaine. Chaque machine a ses propres paramètres. Il existe blog MSDN, cependant, qui énumère les étapes que vous pouvez suivre pour créer un script qui contient les descripteurs de sécurité appropriés, que vous les descripteurs de sécurité appropriés, que vous pouvez ensuite insérer dans une GPO en tant que script de démarrage et faire en sorte que vos ordinateurs obtiennent les paramètres de sécurité mis à jour au moment du démarrage.

Voici le lien vers l'article du blog avec la méthode pour créer un script : https://blogs.msdn.microsoft.com/spatdsg/2007/11/21/set-wmi-namespace-security-via-gpo-script/

Cette approche m'a donné une méthode utilisable pour activer l'accès WMI pour un compte de service non Admin de domaine en utilisant GPO.

Microsoft a un autre article, plus récent, qui montre comment faire cela via la stratégie de groupe avec un script PowerShell :

https://blogs.technet.microsoft.com/askpfeplat/2018/04/30/delegate-wmi-access-to-domain-controllers/

Je ne sais pas pourquoi ils le font avec une tâche planifiée. Je crois que la politique de groupe Startup scripts supporte maintenant PowerShell en natif :

https://gallery.technet.microsoft.com/Set-WMI-Namespace-Security-5081ad6d