In den folgenden Schritten wird beschrieben, wie Sie ein Konto ohne Administratorberechtigungen für WMI verwenden können.
Gruppenmitgliedschaft, Sicherheitsrichtlinienzuweisungen und Berechtigungen
- Erstellen Sie für den Benutzer, der in Ihrer Umgebung für die Protokollerfassung verwendet werden soll, ein Domänenbenutzerkonto.
- Erstellen Sie eine Domänengruppe, die alle Rechte erhält, die der für die WMI-Erfassung zuständige Benutzer benötigt.
HINWEIS: Weisen Sie Berechtigungen nicht direkt den Benutzern zu, sondern immer der ganzen Domänengruppe.
- Ordnen Sie den WMI-Erfassungsbenutzer der neu erstellten Gruppe zu.
- Ordnen Sie die neu erstellte WMI-Erfassungsgruppe den folgenden Domänengruppen zu:
- Leistungsprotokollbenutzer
- Distributed COM-Benutzer
- Führen Sie eines der drei folgenden MMC-Snap-Ins (Microsoft Management Console) aus:
- das Snap-In "Lokale Sicherheitsrichtlinie" (secpol.msc) für Mitglieds-Server
- das standardmäßige Snap-In "Sicherheitsrichtlinie für Domänen" (dompol.msc), wenn die Einstellungen domänenweit als GPO konfiguriert werden sollen
- das standardmäßige Snap-In "Sicherheitsrichtlinie für Domänencontroller" (dcpol.msc), wenn die Berechtigungen nur auf Domänen-Controllern zugewiesen werden sollen
- Erweitern Sie nach dem Starten des Snap-Ins Sicherheitseinstellungen, dann Lokale Richtlinien und anschließend Zuweisen von Benutzerrechten.
- Weisen Sie der neuen Gruppe mindestens die folgenden Berechtigungen zu:
- Einsetzen als Teil des Betriebssystems
- Anmelden als Stapelverarbeitungsauftrag
- Anmelden als Dienst
- Ersetzen eines Tokens auf Prozessebene
- Beenden Sie das Dienstprogramm für Richtlinieneinstellungen.
Zuweisung der Distributed Component Object Model (DCOM)-Berechtigungen
Konfigurieren Sie die DCOM-Sicherheit für die WMI-Erfassungsgruppe anhand der folgenden Schritte:
- Klicken Sie auf Start, auf Verwaltung und dann auf Komponentendienste.
- Erweitern Sie nacheinander Konsolenstamm, Computer und Arbeitsplatz.
- Klicken Sie mit der rechten Maustaste auf Computer, und wählen Sie Eigenschaften aus.
- Klicken Sie im nun angezeigten Fenster auf die Registerkarte COM-Sicherheit.
- Klicken Sie unter Zugriffsberechtigungen auf Limits bearbeiten.
- Prüfen Sie, ob für die Gruppe Distributed COM-Benutzer alle unter Zulassen aufgeführten Elemente ausgewählt sind.
- (Optional) Fügen Sie dieser Liste die WMI-Erfassungsgruppe hinzu, und achten Sie darauf, dass auch hier alle Zugriffsoptionen unter Zulassen aktiviert sind.
HINWEIS: Dieser Schritt ist nicht erforderlich, da die WMI-Erfassungsgruppe zur übergeordneten Gruppe "Distributed COM-Benutzer" gehört.
- Klicken Sie nach dem Überprüfen der Gruppe Distributed COM-Benutzer bzw. dem Hinzufügen der WMI-Erfassungsgruppe zum Speichern der Änderungen auf OK. Anschließend wird wieder die Registerkarte COM-Sicherheit angezeigt.
- Klicken Sie unter Start- und Aktivierungsberechtigungen auf Limits bearbeiten.
- Vergewissern Sie sich, dass in der Liste der Gruppen und Berechtigungen für die Gruppe Distributed COM-Benutzer alle unter Zulassen aufgeführten Elemente ausgewählt sind.
- (Optional:) Fügen Sie hier die WMI-Erfassungsgruppe hinzu, und aktivieren Sie unter Zulassen alle Zugriffsoptionen.
HINWEIS: Dieser Schritt ist nicht erforderlich, da die WMI-Erfassungsgruppe bereits zur übergeordneten Gruppe Distributed COM-Benutzer gehört.
- Klicken Sie zum Speichern der Änderungen auf OK.
- Beenden Sie das Dienstprogramm Komponentendienste.
WMI-Namespace-Sicherheitszuweisungen
Konfigurieren Sie anhand der folgenden Schritte die WMI-Namespace-Sicherheit, damit die WMI-Erfassungsgruppe Zugriff auf WMI-Objekte hat:
- Klicken Sie auf Start und dann auf Ausführen, geben Sie wmimgmt.msc ein, und klicken Sie auf OK.
- Klicken Sie mit der rechten Maustaste auf WMI-Kontrolle (Lokal), und klicken Sie dann auf Eigenschaften.
- Klicken Sie auf die Registerkarte Sicherheit.
- Klicken Sie unten im Fenster auf Sicherheit. Mit dieser Aktion werden die Sicherheitseinstellungen für den Stamm-WMI-Namespace bearbeitet.
- Klicken Sie zum Anzeigen der erweiterten Sicherheitseinstellungen für diesen WMI-Namespace auf Erweitert.
- Fügen Sie der Liste die WMI-Erfassungsgruppe hinzu, und weisen Sie mindestens den folgenden Aktionen die Berechtigung Zulassen zu:
- Methoden ausführen
- Konto aktivieren
- Remoteaktivierung
- Sicherheit lesen
HINWEIS: Wählen Sie im Dropdown-Feld oberhalb des Fensters mit der Berechtigungsliste die Option Dieser und untergeordnete Namespaces aus, damit diese Berechtigungen für diesen und alle untergeordneten Namespaces gelten.
- Klicken Sie auf OK, um die neuen Berechtigungen zu speichern.
- Klicken Sie zum Schließen der erweiterten Sicherheitseinstellungen erneut auf OK und anschließend ein drittes Mal auf OK, um die Sicherheitseigenschaften zu schließen.
Nun können Sie mit dem WMI-Erfassungsbenutzer WMI-Ereignisse erfassen, ohne WMI-Domänen-Admin-Berechtigungen verwenden zu müssen.
