Может ли WinRS получить доступ к путям UNC?

Я использую WinRS для запуска исполняемого файла на удаленной машине. Этот исполняемый файл, в свою очередь, должен получить доступ к сетевому ресурсу UNC. Я нахожусь в сети Windows с AD и запускаю все как учетную запись администратора домена (не локальную учетную запись), которая является администратором машины рассматриваемых серверов и имеет полный доступ (папка и общий ресурс) к сетевому ресурсу. Но когда я использую WinRS для запуска удаленного процесса, кажется, что этот удаленный процесс не имеет доступа к сети. Самый простой пример, который я мог бы перегнать, это:

winrs -r:RedServer dir \\BlueServer\SomeSharedFolder

что дает ошибку

Доступ запрещен.

Обратите внимание, что сама WinRS работает на RedServer, потому что это работает нормально:

winrs -r:RedServer dir C:

Итак, это звучит как проблема с разрешениями, верно? Но чтобы доказать, что эта учетная запись имеет полный контроль над общим ресурсом \\BlueServer\SomeSharedFolder, я вошел в RedServer с той же учетной записью и запустил это в командной строке:

dir \\BlueServer\SomeSharedFolder

Он работал нормально, предоставив мне содержимое этой папки. Ошибки вызывает только комбинация пути WinRS + UNC.

Есть ли что-то, что мне нужно настроить по-другому, или это ограничение/защита Windows? Я столкнулся с подобным ограничением с PsExec.exe от Sysinternals; Я мог получить доступ ко всему на целевой машине, но не к сети. Кстати, здесь я нашел несколько связанный вопрос SO: Ошибка при создании сопоставленного диска с использованием winrs, но там нет ответов.


windows winrm batch-file winrs
person Arin    schedule 17.06.2015    source источник

Ответы (1)


arrow_upward
5
arrow_downward

То, что вы описываете, представляет собой сценарий двойного перехода, который требует дополнительной настройки на клиенте и сервере для поддержки. Сценарий двойного перехода — это удаленный вход на сервер Windows и последующий доступ к удаленному сетевому ресурсу:

client -> server -> file share

Это можно сделать с помощью CredSSP или делегирования Kerberos.

Проверка подлинности CredSSP предназначена для сред, в которых нельзя использовать делегирование Kerberos. Была добавлена ​​поддержка CredSSP, позволяющая пользователю подключаться к удаленному серверу и иметь возможность доступа к машине второго перехода, например к общей папке.

Хотя я не пробовал эти инструкции, они кажутся разумным местом для начала. Кроме того, эта запись в блоге Трэвиса Гана оказаться полезным.

person Sneal    schedule 30.06.2015