Le procedure riportate di seguito descrivono come utilizzare un account non amministratore per WMI.
Nota La raccolta dei registri di sicurezza su Windows Server 2012 richiede almeno i diritti di amministratore locale.
Appartenenza a gruppi, assegnazioni policy di sicurezza e autorizzazioni
- Crea un account utente di dominio utilizzato nell'ambiente di raccolta dei registri.
- Crea un gruppo di domini che riceveranno i diritti di cui ha bisogno l'utente della raccolta WMI.
Nota Assegnare sempre le autorizzazioni a un gruppo di domini, anziché direttamente a un utente.
- Inserire il Utente della raccolta WMI in questo gruppo appena creato.
- Inserire il gruppo di raccolta WMI appena creato nei seguenti gruppi di domini:
- Reader registro eventi
- Utenti COM distribuiti
- Esegui uno dei seguenti tre snap-in di Microsoft Management Console (MMC):
- Lo snap-in della policy di sicurezza locale (secpol. msc) per i server membri.
- Lo snap-in Policy di sicurezza del dominio predefinito (dompol. msc), se si desidera configurare queste impostazioni a livello di dominio come oggetto Criteri di gruppo.
- Lo snap-in impostazioni di protezione del controller di dominio predefinito (dcpol. msc), se si desidera assegnare i diritti solo ai controller di dominio.
- Quando lo snap-in è stato avviato, espandere Impostazioni di protezione, Policy locali, Assegnazione dei diritti utente.
- Assegnare al nuovo gruppo almeno i seguenti diritti:
- Agire come parte del sistema operativo.
- Effettuare l'accesso come processo batch.
- Accedere come servizio.
- Sostituire un token a livello di processo.
- Chiudere l'utilità Impostazioni Policy.
Assegnazioni di diritti di Distributed Component Object Model (DCOM)
Attenersi alla procedura riportata di seguito per configurare la sicurezza DCOM per il gruppo di raccolta WMI:
- Fare clic su Avvia, Strumenti di amministrazione, Servizi componenti.
- Espandere Root della console, Computer, Risorse del computer.
- Fare clic con il pulsante destro del mouse Risorse del computer e selezionare Proprietà.
- Nella finestra visualizzata, fare clic sul pulsante Sicurezza COM scheda.
- In Autorizzazioni di accesso, fare clic su Modifica limiti.
- Verificare che il Gruppo di utenti COM distribuiti tutti gli elementi sono selezionati in Consentire.
- Opzionale Aggiungere il Gruppo di raccolta WMI a questo elenco e assicurarsi che siano pieni Consentire accesso.
Nota Questo passaggio è facoltativo perché il gruppo di raccolta WMI è normalmente già membro di Utenti COM distribuiti.
- Una volta esaminata la presenza di Utenti COM distribuiti o aggiunto il Gruppo di raccolta WMI, fare clic su OK per salvare le modifiche e tornare alla scheda protezione COM.
- In Autorizzazioni di avvio e attivazione, fare clic su Modifica limiti.
- Nell'elenco dei gruppi e delle autorizzazioni, verificare che il Gruppo di utenti COM distribuiti tutti gli elementi sono selezionati in Consentire.
- Opzionale Aggiungere il Gruppo di raccolta WMI e assegnare il pieno Consentire accesso.
Nota Questo passaggio è facoltativo perché il gruppo di raccolta WMI è normalmente già membro di Utenti COM distribuiti.
- Fare clic su OK e salvare le modifiche.
- Chiudi il Servizi componenti utilità.
Assegnazioni di sicurezza dello spazio dei nomi WMI
Attenersi alla procedura riportata di seguito per impostare la sicurezza dello spazio dei nomi WMI in modo che il gruppo di raccolta WMI disponga dell'accesso agli oggetti WMI:
- Fare clic su Avvia, Esegui, digitare wmimgmt.msc, quindi fare clic su OK.
- Fare clic con il pulsante destro del mouse Controllo WMI (locale) e fare clic su Proprietà.
- Fare clic sul pulsante Sicurezza scheda.
- Fare clic su Sicurezza nella parte inferiore della finestra. Questa azione modifica le impostazioni di protezione per lo spazio dei nomi WMI principale.
- Fare clic su Avanzate e modificare le impostazioni di protezione avanzate per lo spazio dei nomi WMI.
- Aggiungere il Gruppo di raccolta WMI all'elenco e assegnarlo almeno quanto segue Consentire autorizzazioni
- Metodi Execute
- Attiva account
- Attiva remota
- Leggi la sicurezza
Nota Assicurarsi che queste autorizzazioni siano valide per questo spazio dei nomi e tutti gli spazi dei nomi sotto di esso. Selezionare Questo spazio dei nomi e i sottospazi dei nomi nella casella a discesa, sopra la finestra dell'elenco delle autorizzazioni.
- Fare clic su OK e salvare le nuove autorizzazioni.
- Fare clic su OK di nuovo e chiudere le impostazioni di protezione avanzate.
- Fare clic su OK una terza volta e uscire dalle proprietà di sicurezza.
Ora è possibile utilizzare l'utente della raccolta WMI per raccogliere gli eventi da WMI senza dover utilizzare i diritti di amministratore del dominio WMI.
