首页 > 代码库 > Just Enough Administration

Just Enough Administration

Just Enough Administration (JEA) 是一项安全技术,委派的管理员可通过它执行可通过 PowerShell 处理的任意操作。使用 JEA,你可以:

  • 通过利用代表普通用户执行特权操作的虚拟帐户,减少你计算机上的管理员数量

  • 通过指定用户可运行的 cmdlet、函数和外部命令,限制用户可执行的操作

  • 使用准确显示用户在会话中所执行命令的脚本和日志,更好地了解你的用户进行的操作


1.检查环境,创建对象

以管理员帐号登录DC,打开PowerShell,创建用户和组;

cmd

net user DeskHelpUser1 P@ssw0rd /add

技术分享

net group HelpdeskOperator /add

技术分享

Powershell

Add-ADGroupMember -Members DeskHelpUser1 -Identity HelpdeskOperator

技术分享

结果:

技术分享


2.创建和配置会话文件 

查看当前会话配置:

Get-PSSessionConfiguration

技术分享

创建会话配置目录:

New-Item -Path "C:\JEAConfig" -ItemType Directory

技术分享

新建会话配置文件 :

New-PSSessionConfigurationFile -Path C:\JEAConfig\HelpdeskOperator.pssc

技术分享

使用记事本打开C:\JEAConfig\HelpdeskOperator.pssc文件,并修改如下;

SessionType =‘RestrictedRemoteServer‘        (默认设置要使用的预定义参数)

TranscriptDirectory ="C:\JEAConfig\Transcripts" (定义在每个远程会话后保存PS脚本的位置)

RunAsVirtualAccount = $true (表示PS必须作为“运行方式”虚拟帐户)

RoleDefinitions = @{‘Contoso\HelpdeskOperator‘ = @{ VisibleCmdlets=  ‘Get-Service‘,’Get-Process’ }}    (可用于尝试基于其组成员资格建立连接的任何用户的操作)

技术分享

Register-PSSessionConfiguration -Name ‘HelpdeskOperator‘ -Path  "C:\JEAConfig\HelpdeskOperator.pssc"

注册JEA

技术分享

Get-PSSessionConfiguration

技术分享

Restart-Service winrm

技术分享


3.测试JEA会话配置

a.本地测试,

在DC1中打开Power shell窗口,输入

$HelpdeskOperatorCred= Get-Credential (用户名lianggj\DeskHelpUser1密码为P@ssw0rd)

技术分享

Enter-PSSession -ComputerName . -ConfigurationName HelpdeskOperator -Credential $HelpdeskOperatorCred

Get-Command  查看结果

技术分享


b.远程测试;

以上测试DC在虚拟机中,物理机的虚拟网卡和虚拟机DC同一网段,可通信,如下;

技术分享

物理机运行PS;

Set-Item WSMan:\localhost\Client\TrustedHosts "172.16.0.10"

$ip = "172.16.0.10"

Enter-PSSession -ComputerName $ip -Credential $ip\DeskHelpUser1

由于用户不属于远程管理员组无法登陆

技术分享

Enter-PSSession -ComputerName $ip -ConfigurationName HelpdeskOperator   -Credential $ip\DeskHelpUser1 

通过使用会话配置文件,可以远程登陆

技术分享

Get-Command  查看结果

技术分享


详细参考:

https://msdn.microsoft.com/zh-cn/powershell/jea/overview

本文出自 “1+1=?” 博客,请务必保留此出处http://lianggj.blog.51cto.com/176264/1905343

Just Enough Administration