web-dev-qa-db-ja.com

ドメインアカウントがグループポリシーから適切な独自の特権を受け取らない

SeBackupPrivilege、SeDebugPrivilege、およびSeSecurityPrivilegeを必要とするソフトウェアをインストールしようとしていますが、ドメインアカウントでこれらの特定の権限を取得できないようです。

この例の名前を変更しましたが、ユーザーアカウント名はTeddyで、グループTeddy-Groupにあります。このグループには、Teddy-Baseというグループポリシーを介して特権が割り当てられています。このグループポリシーは、ソフトウェアをインストールしようとしているマシンのコンピューターアカウントを含むOUに適用されます。このグループポリシー内で、Teddy-Groupは、インストーラーの要求に応じてBackup Files and DirectoriesDebug ProgramsおよびManaging Auditing and Security Logに適用されます。

マシンでrsop.mscを実行すると、ポリシーが正しく適用されていることがわかりますが、whoami /privを実行すると、権限が適用されておらず、インストーラーが引き続き失敗していることがわかります。

ここで気が狂って何か間違ったことをしているのかどうかはわかりませんが、これらの操作を何度も行っており、問題が発生したのはこれが初めてです。何か案は？

Windows 2008 R2 SP1

gpresult /zの結果

Microsoft (R) Windows (R) Operating System Group Policy Result tool v2.0 Copyright (C) Microsoft Corp. 1981-2001

Created On 6/18/2014 at 11:08:58 AM



RSOP data for 
-------------------------------------------------

OS Configuration:            Member Server OS Version:                
6.1.7601 Site Name:                   Default-First-Site-Name Roaming Profile:             N/A Local Profile:               Connected over a slow link?: No


COMPUTER SETTINGS
------------------
    Last time Group Policy was applied: 6/18/2014 at 10:39:08 AM
    Group Policy was applied from:      
    Group Policy slow link threshold:   500 kbps
    Domain Name:                       
    Domain Type:                        Windows 2000

    Applied Group Policy Objects
    -----------------------------
        Teddy-Base
        Default Domain Policy

    The following GPOs were not applied because they were filtered out
    -------------------------------------------------------------------
        Local Group Policy
            Filtering:  Not Applied (Empty)

    The computer is a part of the following security groups
    -------------------------------------------------------
        System Mandatory Level
        Everyone
        BUILTIN\Users
        NT AUTHORITY\SERVICE
        CONSOLE LOGON
        NT AUTHORITY\Authenticated Users
        This Organization
        BITS
        CertPropSvc
        EapHost
        hkmsvc
        IKEEXT
        iphlpsvc
        LanmanServer
        MMCSS
        MSiSCSI
        RasAuto
        RasMan
        RemoteAccess
        Schedule
        SCPolicySvc
        SENS
        SessionEnv
        SharedAccess
        ShellHWDetection
        wercplsupport
        Winmgmt
        wuauserv
        LOCAL
        BUILTIN\Administrators

    Resultant Set Of Policies for Computer
    ---------------------------------------

        Software Installations
        ----------------------
            N/A

        Startup Scripts
        ---------------
            GPO: DNS_Registration
                Name:         RegisterDNS.vbs
                Parameters:   
                LastExecuted: 2:39:16 PM

        Shutdown Scripts
        ----------------
            N/A

        Account Policies
        ----------------


        Audit Policy
        ------------
            N/A

        User Rights
        -----------

            GPO: Teddy-Base
                Policy:            DebugPrivilege
                Computer Setting:  domain\Teddy-Group

            GPO: Teddy-Base
                Policy:            SecurityPrivilege
                Computer Setting:  domain\Teddy-Group

            GPO: Teddy-Base
                Policy:            ServiceLogonRight
                Computer Setting:  domain\Teddy-Group


            GPO: Teddy-Base
                Policy:            BackupPrivilege
                Computer Setting:  domain\Teddy-Group

        Security Options
        ----------------



        Event Log Settings
        ------------------

        Restricted Groups
        -----------------
            GPO: DSP
                Groupname: Backup Operators


        System Services
        ---------------


        Registry Settings
        -----------------


        File System Settings
        --------------------


        Public Key Policies
        -------------------
            N/A

        Administrative Templates
        ------------------------
             "I have removed these from the output"


USER SETTINGS
--------------

    Last time Group Policy was applied: 6/18/2014 at 10:43:02 AM
    Group Policy was applied from:      
    Group Policy slow link threshold:   500 kbps
    Domain Name:                        
    Domain Type:                        Windows 2000



    The user is a part of the following security groups
    ---------------------------------------------------
        Domain Users
        Everyone
        BUILTIN\Users
        BUILTIN\Administrators
        NT AUTHORITY\INTERACTIVE
        CONSOLE LOGON
        NT AUTHORITY\Authenticated Users
        This Organization
        LOCAL
        Domain Admins
        Teddy-Group
        Denied RODC Password Replication Group
        High Mandatory Level

    The user has the following security privileges
    ----------------------------------------------

        Restore files and directories
        Change the system time
        Shut down the system
        Force shutdown from a remote system
        Take ownership of files or other objects
        Modify firmware environment values
        Profile system performance
        Profile single process
        Increase scheduling priority
        Load and unload device drivers
        Create a pagefile
        Adjust memory quotas for a process
        Bypass traverse checking
        Remove computer from docking station
        Perform volume maintenance tasks
        Impersonate a client after authentication
        Create global objects
        Change the time zone
        Create symbolic links
        Enable computer and user accounts to be trusted for delegation
        Increase a process working set
        Back up files and directories
        Debug programs
        Manage auditing and security log
windowswindows-server-2008windows-server-2008-r2group-policypermissions
3
user2104891

これは既知のバグである可能性があります。

SeBackupPrivilegeユーザー権限を必要とするWindowsインストーラーパッケージは、Windows7またはWindowsServer 2008 R2で失敗します
http://support.Microsoft.com/kb/2514642

症状

次のシナリオを検討してください。

  • Windows7またはWindowsServer 2008R2を実行しているコンピューターがあります。
  • Windowsインストーラーサービスを使用して、Windowsインストーラー（.msi）パッケージをインストールします。
  • .msiパッケージの一部のカスタマーアクションには、SeBackUpPrivilegeユーザー権限が必要です。

このシナリオでは、.msiパッケージのインストールは失敗します。

注：この問題は、Windows Server 2003、Windows XP、Windows Vista、またはWindows Server 2008を実行していて、Windowsインストーラー4.5がインストールされているコンピューターでは発生しません。

原因

この問題は、Windowsインストーラーサービス5.0にWindows7およびWindowsServer 2008R2のSeBackupPrivilegeユーザー権限がないために発生します。

回避策

この問題を回避するには、管理者特権のコマンドプロンプトで次のコマンドを実行して、msiserverサービスのSeBackupPrivilegeユーザー権限の明示的なアクセス許可を設定します。

sc privs msiserver SeTcbPrivilege/SeCreatePagefilePrivilege/SeLockMemoryPrivilege/SeIncreaseBasePriorityPrivilege/SeCreatePermanentPrivilege/SeAuditPrivilege/SeSecurityPrivilege/SeChangeNotifyPrivilege/SeProfileSingleProcessPrivilege/SeImpersonatePrivilege/SeCreateGlobalPrivilege/SeAssignPrimaryTokenPrivilege/SeRestorePrivilege/SeIncreaseQuotaPrivilege/SeShutdownPrivilege/SeTakeOwnershipPrivilege/SeLoadDriverPrivilege/SeBackupPrivilege
2
Greg Askew

私は同じプロセスを持っていましたwhoami /priv、私は自分の正気を疑うようになりました（最終的に、secpol.mscを介して手動でアカウントを追加しましたが、それでも「無効」になり、GPが問題ではないことを理解しました）。
バックアップ権限は、その権限を持つユーザーに属するプロセスにはデフォルトでは付与されないことを学びました。プロセスはAdjPrivを使用してバックアップ権限を要求する必要があります。
実行してみましたか：

これらのサンプルがその特権を取得できない場合は、何かが間違っていることを意味します。GPを無効にして手動で特権を設定し、それが解決するかどうかを確認する必要があります。
[〜＃〜] tldr [〜＃〜]：実際にソフトウェアを実行しようとしましたが、失敗しましたか？

`出典：

1
Nitz