Powershell: समर्थन sudo<powershell cmdlet=""/>

हम! बहुत ही रोचक। लेकिन, मुझे लगता है कि वास्तविक व्यवहार अपेक्षा के अनुरूप है। जैसा कि विंडोज में हमारे पास sudo जैसी कमांड नहीं है।
लेकिन, आप 'sudo powershell' का उपयोग कर सकते हैं और फिर foo.txt को हटा सकते हैं (जो 'sudo powershell' का उपयोग करके बनाया गया था) तो यह Remove-Item का उपयोग करते समय काम करता है। बेशक, यह एक गैर-उन्नत अनुमति में काम नहीं करेगा।

मैं केवल PowerShell के भीतर से Linux कमांड ("sudo nautilus") पर 'sudo' का उपयोग करूंगा।

:)

विंडोज पर भी, cmdlet को किसी अन्य उपयोगकर्ता के रूप में चलाने के लिए इसी तरह की क्षमता होना अच्छा होगा और उन्नत स्क्रिप्ट में भरोसा किया जा सकता है। इसके लिए RFC की जरूरत हो सकती है।

यह कार्यक्षमता # 3506 के आसपास काम करने के लिए उपयोगी होगी।

यदि यह हल नहीं होता है तो यह मेरे लिए लिनक्स को अडॉप्ट करने के लिए एक अवरोधक बनने जा रहा है। हमें सूडो बैश करने की अनुमति नहीं है और इसी तरह सूडो पावरशेल नहीं कर पाएंगे।

मैं मैक्सिमो से सहमत हूं, हमें सूडो को कोसने के लिए छोड़ देना चाहिए और उम्मीद की कार्यक्षमता पर मचान के रूप में सूडो का उपयोग करके शक्तियों को ऊंचा करने के लिए एक नया cmdlet बनाना चाहिए।

@dantraMSFT इसकी जांच कर रहा है, क्या आप इसके लिए कुछ मौजूदा सोच पर अपडेट प्रदान कर सकते हैं?

@pixelrebirth क्या आप अपेक्षा के अनुसार अधिक विवरण प्रदान कर सकते हैं? क्या आप प्रतीक्षा, आउटपुट पुनर्निर्देशन या पाइपलाइन पुनर्निर्देशन के साथ सरल निष्पादन की उम्मीद कर रहे हैं?
कुछ उदाहरण उपयोग के रूप में अच्छी तरह से उपयोगी होगा।

@dantraMSFT तर्क के लिए मैं नए sudo को cmdlet की तरह बुलाने जा रहा हूं: Invoke-Elevated
यह है कि सूडो कैसे काम करता है और इनवोक-एलीवेटेड में एक शक्तिशाली तरीके से अनुवाद करेगा

$cred = Get-Credential
Invoke-Elevated -credential $cred -command {
        Get-ChildItem ./test | Remove-Item -force
} | Get-SomeCmdlet

इस उदाहरण में, स्क्रिप्टब्लॉक में हर चीज को ऊंचा किया जाएगा और फिर एक NON एलिवेटेड Get-SomeCmdlet पर पाइप किया जाएगा
क्रेड एक अलग उपयोगकर्ता या अपने आप को एक ऊंचा उपयोगकर्ता के रूप में हो सकता है (अनुमतियों को कहीं और रखा जाना चाहिए जैसे कि sudoers फ़ाइल aka a whitelel करता है)

लॉग इन को सक्षम किया जाना चाहिए, डिफ़ॉल्ट रूप से उन स्थानों के लिए जहां इनवोक-एलीवेट निष्पादित किया गया है:
उपयोगकर्ता | कमान | डेटटाइम या समान प्रारूप लॉगिंग

हो सकता है कि इसमें से कुछ को बाद में बढ़ाया या बदल दिया जाए, लेकिन यह वही है जो मेरे ब्लॉकर्स को हटा देगा

यह भी काम करना चाहिए:

Get-ChildItem ./test | Invoke-Elevated -command {Remove-Item -force}
जहां क्रेडेंशियल आपका वर्तमान उपयोगकर्ता है और यह केवल पासवर्ड के लिए पूछता है ...

Get-ChildItem NON एलिवेटेड है, इस उदाहरण में Remove-Item को ऊंचा किया गया है

मैं आज इस बारे में पूछने वाले सामुदायिक कॉल पर था, लेकिन मेरी पत्नी इसके लिए चुनौतियों के स्पष्टीकरण के दौरान आहत हो गई और मैंने इसे बहुत याद किया। क्या आप कृपया यहां नोट डाल सकते हैं ताकि मैं उन्हें अपने बॉस को रिले कर सकूं?

मैं जहां भी संभव हो मदद करूंगा और जहां भी जरूरत होगी वहां दबाव डालूंगा।

@pixelrebirth आशा है कि वह ठीक है! हम अगले एक या दो दिन में कॉल की रिकॉर्डिंग डालेंगे, ताकि आप चाहें तो पकड़ सकें।

मूल सारांश यह है कि @dantraMSFT यह पता लगाने के लिए एक प्रारंभिक जांच कर रहा है कि यह गैर-हैकरी तरीके से कैसे किया जाए। आज, आप किसी अन्य शेल से sudo powershell -c "invoke-foo" सकते हैं, लेकिन यह स्पष्ट रूप से व्यावहारिक नहीं है।

@dantraMSFT : जैसा कि आप अपनी जांच के माध्यम से काम करते हैं, शायद यह सुनिश्चित करने के लिए कुछ स्थिति पोस्ट करें कि हर कोई अलग-अलग तरीकों से ट्रेडऑफ़ को समझता है?

यह स्पष्ट लग सकता है, लेकिन शायद sudo स्रोत कोड पर एक नज़र डालें और देखें कि वे इसे कैसे प्रबंधित करते हैं - शायद इसके लिए कुछ निम्न स्तर की कोडिंग की आवश्यकता होती है। काश मुझे मदद करने के लिए एक गहरी कोड समझ होती।

वह ठीक है, वह अपनी सर्जरी हिप पर महसूस करती है। इस पर तेजी से प्रतिक्रिया के लिए धन्यवाद। मैं थोड़ा सा हैक काम पर काम कर रहा हूं अगर मैं इसे खींच दूंगा तो मैं यहां पोस्ट करूंगा।

@pixelrebirth संदर्भ के लिए, sudo setuid बिट का उपयोग करता है, विवरण के लिए https://unix.stackexchange.com/a/80350/86669 देखें। यह संभवतः एक पूरे शेल पर सेट करने के लिए एक बुरा विचार होगा, हालांकि।

मूल Windows sudo होना चाहिए (इसलिए समस्या संभवतः यहाँ नहीं है, हालाँकि विकल्प जहाँ यह केवल Powershell के माध्यम से प्रयोग करने योग्य है, मेरे लिए स्वीकार्य है)। मैंने शुरुआत से ही पॉवर्स का उपयोग किया है और सूडो लिपि के 99 संस्करण देखे हैं, जैसे Invoke-Elevated ऊपर (या मेरा अपना जो मैं हर दिन उपयोग करता हूं)। पॉवर्सशेल में उस तरह के cmdlet को शामिल करना आगे कदम होगा, हालांकि, वे सभी लिनक्स पर कैसे काम करते हैं, इसके सापेक्ष बोझिल महसूस करते हैं।

मेरे लिए कष्टप्रद चीजों में से एक यह है कि यह एक नई शेल विंडो शुरू करता है (लिनक्स पर नहीं) जिसे मैं पॉवर्सशेल / विंडोज में कार्यान्वित देखना चाहता हूं, यह सुनिश्चित नहीं है कि यह विंडोज थियो पर तकनीकी रूप से संभव है।

हालाँकि मुझे एक और cmdlet ("इनवोक-एलेवेटेड") का विचार पसंद है, जो संभवतः विंडोज़ में उपयोग किया जा सकता है, लेकिन मुझे समझ नहीं आ रहा है कि यदि आप उच्च के साथ चलने के लिए स्क्रिप्ट बनाने की आवश्यकता है, तो 'sudo' के साथ PowerShell को खोलने के लिए क्यों न रहें विशेषाधिकार?

विशेष रूप से यदि आप एक कार्य को स्वचालित कर रहे हैं जो अंततः किसी भी तरह के उच्च विशेषाधिकार प्रमाण के साथ चलने के लिए निर्धारित किया जाएगा।
:)

क्योंकि वह विशिष्ट वर्कफ़्लो नहीं है। आप 'sudo' नहीं करते और हमेशा के लिए वहां रहते हैं, आप विशिष्ट आदेशों को sudo करते हैं और गैर-sudo दुनिया में रहते हैं। विंडोज में ऐसा करने का कोई त्वरित तरीका नहीं है और पावरशेल खुद को शुरू करने के लिए बहुत धीमा है, विशेष रूप से कुछ प्रोफ़ाइल तत्वों के साथ।

एक सामान्य हर दिन के सत्र में मैं 20 बार विशिष्ट आदेश देता हूं, अन्य अप्रकाशित होते हैं। यह सूदो का पूरा बिंदु है, केवल आवश्यक होने पर विशेषाधिकार बढ़ाने के लिए और यह अक्सर आवश्यक हो सकता है।

मेरा वर्कफ़्लो था, कमांड चलाएं, यह विशेषाधिकार के बारे में शिकायत करता है, मैं sudo -L जो विशेषाधिकार के बाद फिर से अंतिम कमांड निष्पादित करता है। चूंकि पॉश शुरू करने के लिए इतना धीमा है, मैं सिर्फ एडमिन शेल को फायर करता हूं और लगातार इसमें रहता हूं, स्पष्ट रूप से एक अच्छा विचार नहीं है।

धन्यवाद @majkinetor!
:)

सुडो को यूएसी प्रॉम्प्ट का सीएलआई संस्करण होना चाहिए। विंडोज़, हाल तक, कभी भी सीएलआई के अनुकूल नहीं था, लेकिन अब मुझे लगता है कि हमें इसकी आवश्यकता है। समय आ गया है जब आप केवल शेल में 100% विंडोज चीजें कर सकते हैं - मैं व्यक्तिगत रूप से केवल शेल और ब्राउज़र का उपयोग करता हूं, लगभग कुछ भी नहीं।

@ मज्जीकनेटर : जहां तक ​​मुझे पता है, एक उन्नत प्रक्रिया शुरू करने का एकमात्र तरीका यूएसी प्रॉम्प्ट है।
एफडब्ल्यूआईडब्ल्यू: आप शेलएक्सक्यूटेक्सएक्स का उपयोग करके एक शक्तिशाली परिवर्तन के बिना खिड़कियों पर इसे पूरा कर सकते हैं।
हालांकि, यदि आप परिणामों को वापस स्ट्रीम करने की उम्मीद कर रहे हैं; यह बहुत अलग कहानी है।

जहां तक ​​मुझे पता है, एक उन्नत प्रक्रिया शुरू करने का एकमात्र तरीका यूएसी प्रॉम्प्ट है।

विशिष्ट एप्स को यूएसी से बाहर रखा जा सकता है, जिसे मैं मान सकता हूं फिर अपने तरीके से ऊंचाई को संभाल सकता है।

विंडोज पर सूडो के लिए मेरे समाधान / समाधान की पेशकश करना चाहता था। किसी भी प्रतिक्रिया / आलोचना का स्वागत किया जाएगा। यदि इस प्रकार की बात को यहाँ पोस्ट करना उचित नहीं है, तो मैं पहले से माफी माँगता हूँ।

https://github.com/pldmgg/misc-powershell/tree/master/MyModules/Sudo

https://www.powershellgallery.com/packages/Sudo

सूडो मॉड्यूल में तीन कार्य हैं:

• नई SudoSession
• निकालें-SudoSession
• स्टार्ट-SudoSession

Start-SudoSession (उपनाम "sudo") एक-बंद आदेश के लिए है जिसे आपको ऊंचा करने की आवश्यकता है। यह क्रेडेंशियल्स के लिए संकेत देगा और कमांड को ले जाने से पहले आपको यूएसी प्रॉम्प्ट देगा।

।उदाहरण

$ModuleToInstall = "PackageManagement"
$LatestVersion = $(Find-Module PackageManagement).Version
# PLEASE NOTE the use of single quotes in the below $InstallModuleExpression string
$InstallModuleExpression = 'Install-Module -Name $ModuleToInstall -RequiredVersion $LatestVersion'
Start-SudoSession -Credentials $MyCreds -Expression $InstallModuleExpression

यदि कोई उन्नत कमांड खोला जा सकता है, जिसमें नए-सुडोशन को इंजेक्ट किया जा सकता है। विचार यह है कि एक से अधिक संचालन वाली लंबी स्क्रिप्ट में, जिसमें उन्नयन की आवश्यकता होती है, आप शुरुआत में एक एलिवेटेडपीएससेशन बनाते हैं और एक UAC प्रॉम्प्ट ONCE प्राप्त करते हैं, और फिर जरूरत पड़ने पर इनवोक-कमांड का उपयोग करके उन एलिवेटेड कमांड को इंजेक्ट करते हैं।

।उदाहरण

PS C:\Users\zeroadmin> $MyElevatedSession = New-SudoSession -UserName zeroadmin -Credentials $MyCreds
PS C:\Users\zeroadmin> Get-PSSession
 Id Name            ComputerName    ComputerType    State         ConfigurationName     Availability
 -- ----            ------------    ------------    -----         -----------------     ------------
  1 ElevatedSess... localhost       RemoteMachine   Opened        Microsoft.PowerShell     Available

PS C:\Users\zeroadmin> Invoke-Command -Session $MyElevatedSession.ElevatedPSSession -Scriptblock {Install-Package Nuget.CommandLine -Source chocolatey}

अंत में, Remove-SudoSession New-SudoSession फ़ंक्शन द्वारा बनाए गए ElevatedPSSession को हटा देता है। विचार को अपनी स्क्रिप्ट के अंत में रखना है, जिस बिंदु पर आपको UAC प्रॉम्प्ट प्राप्त होगा। इसलिए कुल मिलाकर, किसी विशेष स्क्रिप्ट में किसी भी ऊंचे ऑपरेशन को चलाने के लिए, आपको केवल दो यूएसी संकेतों के साथ हिट करना होगा - एक एलिवेटेडपीएससेशन खोलने के लिए और एक इसे बंद करने के लिए। निकालें-PSSession उपयोग:

।उदाहरण

$MyElevatedSession = New-SudoSession -UserName zeroadmin -Credentials $MyCreds
PS C:\Users\zeroadmin> Get-PSSession
 Id Name            ComputerName    ComputerType    State         ConfigurationName     Availability
 -- ----            ------------    ------------    -----         -----------------     ------------
  1 ElevatedSess... localhost       RemoteMachine   Opened        Microsoft.PowerShell     Available

Remove-SudoSession -Credentials $MyCreds -OriginalConfigInfo $MyElevatedSession.OriginalWSManAndRegistryStatus -SessionToRemove $MyElevatedSession.ElevatedPSSession

हुड के तहत, यह एक गैर-एलिवेटेड पावरशेल सत्र से क्या करता है (यदि सत्र पहले ही ऊंचा हो गया है, तो यह कुछ भी नहीं करता है):

• WinRM / WSMan यह सुनिश्चित करने के लिए जाँच की जाती है कि उसे क्रेडेंशियल ऑथेंटिकेशन (यदि ऐसा नहीं है) की अनुमति देने के लिए सक्षम और कॉन्फ़िगर किया गया है
  कॉन्फ़िगरेशन परिवर्तन किए गए हैं)

• स्थानीय समूह नीति ऑब्जेक्ट की जाँच करता है ...

  कंप्यूटर कॉन्फ़िगरेशन -> प्रशासनिक टेम्पलेट -> सिस्टम -> क्रेडेंशियल प्रतिनिधिमंडल -> नए क्रेडेंशियल को डेलिगेट करने की अनुमति दें

  ... यह सुनिश्चित करने के लिए कि इसे WSMAN / LocalHostFQDN के माध्यम से कनेक्शन की अनुमति देने के लिए सक्षम और कॉन्फ़िगर किया गया है

• नई PSSession cmdlet का उपयोग करके एक उन्नत PSSession बनाता है

• उत्तीर्ण PSSession में एक्सप्रेशन पैरामीटर में उत्तीर्ण की गई अभिव्यक्ति को चलाता है

• हटाए गए PSSession को हटाता है और स्थानीय समूह नीति और WSMAN / WinRM कॉन्फिगरेशन में किए गए सभी परिवर्तनों (यदि कोई हो) को बदल देता है।

संपादित करें: अपडेटेड-सुडोशन उदाहरण टाइपो अपडेट किया गया।

@pldmgg मैं यह नहीं देख सकता कि आपका कोड किस लाइसेंस के तहत है इसलिए हम यह भी नहीं देख सकते कि आपने क्या किया है। क्या आप एक LICENSE फ़ाइल जोड़ सकते हैं? MIT सबसे अधिक अनुकूल होगा और हमें आपके कोड का उपयोग करने या उससे प्राप्त करने की अनुमति देगा। धन्यवाद!

@pldmgg @ स्टीवएल-एमएसएफटी ने जो उल्लेख किया है, https://choosealicense.com/ है।

tl; dr - निम्नलिखित लाइसेंस के साथ गलत होना मुश्किल है:

• अपाचे २.०
• एमआईटी

अधिक जानकारी

अपाचे 2.0 की एमआईटी के ऊपर कुछ अतिरिक्त ताकत है, लेकिन कुल मिलाकर, वे बहुत अनुदार हैं और आसानी से अन्य खुले स्रोत लाइसेंसिंग और बहुत व्यापार के अनुकूल उपयोग किए जाते हैं। यदि आप कोई भी कापीलेफ़्ट लाइसेंस (जीपीएल) चुनते हैं, तो कोड को अन्य उपकरणों के साथ उन अन्य उपकरणों के बिना उपयोग नहीं किया जा सकता है जो जीपीएल लाइसेंस (वायरल लाइसेंसिंग के रूप में भी जाना जाता है - एलजीपीएल यहां अपवाद हैं, जहां एलजीपीएल-लाइसेंस प्राप्त मॉड्यूल / बायनेरिज़ हो सकते हैं) अन्य कोड के लिए एक लाइसेंस परिवर्तन की आवश्यकता के बिना अन्य उपकरणों के बगल में रखा जा सकता है)।

@pldmgg भी, बहुत, बहुत अच्छा!

@ferventcoder संदर्भ के लिए धन्यवाद https://choosealicense.com! जैसा कि आप लोग (+ @ स्टीवएल-एमएसएफटी) को शायद संदेह था, मुझे वास्तव में यकीन नहीं था कि क्या लाइसेंस लेना है। मैंने अपाचे 2.0 का उपयोग करने के लिए अपने पूरे मिस-पॉवरशेल रेपो को अपडेट किया, और मैंने अपाचे 2.0 (अपने गिट रेपो के साथ-साथ पॉवरशेल गैलरी) के संदर्भ में Sudo.psd1 को अपडेट किया। आशा है कि यह लोगों के लिए उपयोग किया जा सकता है! सभी सलाह / आलोचना का स्वागत है!

@ स्टीवएल-एमएसएफटी क्या आप इसका उपयोग कर सकते हैं यदि लाइसेंस अपाचे 2.0 है? यदि आपको एमआईटी होने की आवश्यकता है, तो मुझे बताएं और मैं अपडेट करूंगा।

@ आपके समाधान के साथ मेरी सबसे बड़ी समस्या

Powershell Magaize से उद्धृत करने के लिए,

"किसी डोमेन व्यवस्थापक खाते का उपयोग करके किसी उपयोगकर्ता के कार्य केंद्र को प्रमाणित करने के लिए क्रेडएसएसपी का उपयोग करना एक बुरा विचार है; आप अनिवार्य रूप से राज्य की चाबियाँ दे रहे हैं।"

"कम विश्वास कंप्यूटर पर उच्च विश्वास क्रेडेंशियल्स मत रखो"

यूएसी का पूरा बिंदु कंप्यूटर पर अनुप्रयोगों पर भरोसा नहीं करने के बारे में है। भले ही मैं एक sudo कमांड के लिए सहमति दे सकता हूं जो मेरी मशीन पर चल रहा है, यह आमतौर पर मेरी साख नहीं होगी। अगर सूडो कमांड की अब मेरे डोमेन क्रेडेंशियल्स तक स्पष्ट पहुंच है, तो यह मेरे नेटवर्क से समझौता करने में कहीं अधिक नुकसान कर सकता है।

क्या आपका समाधान क्रेडेंशियल के बिना काम करने के लिए किया जा सकता है? यदि नहीं, तो आप क्रेडएसएसपी के उपयोग से क्या समस्या हल करने की कोशिश कर रहे थे? यह जानकारी अधिक सुरक्षित समाधान खोजने के लिए PowerShell टीम के लिए उपयोगी हो सकती है।

@pldmgg मेरा मानना ​​है कि अपाचे 2.0 पर्याप्त है। धन्यवाद!

@ dragonwolf83 यह एक आम चिंता का विषय है। मैंने वास्तव में अपने पूरे तर्क को सामने रखा कि इस थ्रेड में इस विशिष्ट स्थिति में ठीक है:

https://www.reddit.com/r/PowerShell/comments/6c778m/startsudosession_sudo_for_powershell_written_in/dhsretm/

लेकिन, संक्षेप में, मुझे लगता है कि यह यहाँ ठीक है क्योंकि:

• यह लोकलहोस्ट से कनेक्ट हो रहा है (रिमोट नहीं)

• Windows 8.1 / Server 2012R2 के बाद से, CredSSP अब स्पष्ट पाठ में पासवर्ड नहीं भेजता है

• रिमोट डेस्कटॉप प्रोटोकॉल अभी भी क्रेडेंशियल की तरह पास-ऑफ-हैश हमलों के लिए असुरक्षित है, इसलिए यदि आप इसके बारे में चिंतित हैं कि क्रेडएसएसपी के लिए आपको आरडीपी के लिए भी चिंतित होना चाहिए। (बेशक, आरडीपी प्रतिबंधित व्यवस्थापन मोड या नया "क्रेडेंशियल गार्ड" है)

PS यह लेख PowerShell Security के लिए मेरा गोटो संदर्भ बन गया है (और यह वह जगह है जहां मैंने क्रेडेंशियल गार्ड के बारे में सीखा है) .. मैं इसकी अत्यधिक अनुशंसा करता हूं।

https://blogs.msdn.microsoft.com/daviddasneves/2017/05/25/powershell-security-at-enterprise-customers

6.0.0 के लिए, मुझे लगता है कि हम कहां समाप्त होंगे:

एक स्क्रिप्ट फ़ंक्शन जिसे सुडो कहा जाता है, जो केवल लिनक्स पर मौजूद है (हम विंडोज ऊंचाई समर्थन का समर्थन कर रहे हैं)। यदि तर्क एक cmdlet / scriptblock है, तो यह उन तर्कों के साथ अधिकार में ले लेगा। इसका मतलब यह है कि अभी के लिए, पाइपलाइनिंग ऑब्जेक्ट्स काम नहीं करेंगे। यदि तर्क एक देशी आदेश है, तो हम सीधे सूडो में जाते हैं।

6.0.0 के बाद, हम अंततः एक अनुभव की तरह प्राप्त करना चाहेंगे:

Get-Item foo.txt | sudo Remove-Item

और यह विंडोज और लिनक्स दोनों पर काम करता है। cc @joeyaiello

@ पॉवरशेल / पॉवरशेल-कमेटी चर्चा के आधार पर, यह 6.0.0 के लिए आवश्यक नहीं है और सिफारिश Invoke-AsUser प्रकार के cmdlet में निवेश करना है।

सामान्य रूप से ऊंचाई को बदलने के लिए, आपको UNIX के तहत सेट्यूड बिट के साथ कुछ की आवश्यकता होगी और यह स्वयं sudo होगा। सुडो एक विशेष बाइनरी है जिसे आसानी से अनुकरण नहीं किया जा सकता है और इसे सुरक्षा के लिए अनुकरण नहीं किया जाना चाहिए। कृपया वास्तविक sudo का उपयोग उन पॉवरशेल के एक अस्थायी उदाहरण को लॉन्च करने के लिए किया जाए जो कमांड को प्रश्न में चलाता है। इसके अलावा, एक पूरे शेल को सूड करना यह विचार करने के बजाय असुरक्षित है कि कोई रिमोट सर्वर पर खोल को भूल सकता है। sudo में यह भूलने की एक प्रणाली है कि उपयोगकर्ता कुछ मिनटों के बाद ऊंचा हो जाता है जो लंबे समय में मशीन की सुरक्षा करता है। इस समस्या के लिए रिज़ॉल्यूशन अधिक लोगों को लिनक्स सर्वर पर उत्पादन में अधिकार का उपयोग करने की अनुमति देगा। जैसे-जैसे चीजें खड़ी होती हैं, सुरक्षा के साथ उत्पादन में सर्वोपरि होने के बाद भी एक नयापन बना रहेगा।

@borgdylan आज, आप PowerShell Core के भीतर sudo pwsh -c foo कर सकते हैं (या सिर्फ sudo nativecmd )। मुझे लगता है कि इच्छा एक मौजूदा PowerShell कोर सत्र के भीतर एक cmdlet sudo करने में सक्षम है। हम यहां sudo को फिर से बनाने की कोशिश नहीं कर रहे हैं, बल्कि कुछ सिंथेटिक चीनी का उपयोग करना आसान बना रहे हैं।

# 1527 के साथ और इस मुद्दे को और आगे ले जाने और मील के पत्थर वापस लाने के लिए, मुझे आश्चर्य हो रहा है: क्या हर कोई वास्तव में उस आरामदायक सत्र में प्रवेश कर रहा है जो रूट सामान को करने के लिए है? जब PS किसी भी तरह से शामिल हो, तो PowerShell कमांड को लागू करने के लिए व्यावहारिक रूप से कोई सुविधाजनक तरीका नहीं है।

@MathiasMagnus मैंने इसे पूरी तरह से परीक्षण नहीं किया है, लेकिन आप sudo पर पासवर्ड की आवश्यकता नहीं करने के लिए सामान्य या बार-बार उपयोग किए जाने वाले कमांड को कॉन्फ़िगर कर सकते हैं। परीक्षण करने के लिए मैंने इसे विज़ूडो के साथ जोड़ा:

mark ALL=(ALL:ALL) NOPASSWD: /usr/bin/pwsh

मैं तब PowerShell SSH रीमोटिंग सत्र में sudo pwsh -c 'cat /etc/sudoers' कॉल करने में सक्षम था। इस बात पर निर्भर करता है कि आप अपनी सुरक्षा कैसे कर रहे हैं और वास्तव में आप सूडोर्स में कैसे कॉन्फ़िगर करते हैं (उदाहरण के लिए, All=(ALL:ALL) थोड़ा खुला है ...) यह सुरक्षित या खतरनाक हो सकता है।

यदि आप लिनक्स पर जाते हैं (यानी पॉवरशेल एसएसएच रीमोटिंग के बजाय शेल को बश करने के लिए) तो आप सामान्य पासवर्ड के साथ सूडो को चला सकते हैं, जहां तक ​​कि मैं बता सकता हूं।

यह इतना नहीं है कि यह असंभव है, बस यह है कि वर्तमान workarounds कुछ सामान के साथ आता है।

@MathiasMagnus # 1527 अभी भी 6.1.0 के लिए लक्षित है क्योंकि इसके लिए कोई अच्छा समाधान नहीं है। Cmdlets के लिए, मुख्य मुद्दा एक sudo'd cmdlet से / से पाइपलाइनिंग की जटिलता है। एकल संचालन के लिए sudo pwsh -c व्यवहार्य है। बेशक अगर समुदाय का कोई व्यक्ति किसी पीआर को प्रस्तुत करता है, तो हम इसे लेने से ज्यादा खुश होंगे।

विंडोज पर, यह अब एक मुद्दा है जो मुझे नहीं लगता कि एसएचएस कनेक्शन को बढ़ाए बिना हल किया जा सकता है, जिसे तब कमांड लाइन से ऊपर उठाने का एक तरीका चाहिए।

मुझे पता है कि काम नहीं करने और कार्रवाई नहीं करने के बारे में बी * टीच करना आसान है, लेकिन मेरी विशेषज्ञता कहीं और है। मैं ज्यादातर C ++ और GPGPU पुस्तकालयों और Vcpkg के लिए बहुत सीएमके पोर्टिंग में योगदान देता हूं। मैंने कभी C # नहीं लिखा है और मुझे नहीं लगता कि मेरे पास करने की क्षमता है। हालाँकि मैं ~ 12 मशीनों के एक छोटे समूह का प्रशासन करता हूँ। यह हाथ से प्रबंधनीय होने की सीमा पर है, लेकिन sudo क्षमता बहुत गायब है, अगर मैं उबंटू पर रूट उपयोगकर्ता के लिए लॉगिन बनाने का इरादा नहीं करता हूं, तो कुछ ऐसा है जो उस पर आधारित है। DSC Core एक समाधान होगा, लेकिन भले ही यह एक साल पहले घोषित किया गया हो, यह हाल ही में अनिश्चित काल के लिए विलंबित हो गया है।

लिनक्स पर PowerShell Core जैसा कि वर्तमान में खड़ा है, सामान करने के स्वचालित तरीके और लिनक्स सिसडमिन से परिचित तदर्थ शैली के बीच अटका हुआ है। मुझे उम्मीद है कि किसी को इस मुद्दे पर उपस्थित होने का समय मिल जाएगा।

@ मैथियास मैगनस यह ऐसी चीज है जिसे हर कोई चाहता है, लेकिन इसे हल करने के लिए एक सरल समस्या नहीं है। ध्यान दें कि देशी कमांड के खिलाफ sudo का उपयोग करना ठीक है, यह वास्तव में cmdlets के खिलाफ sudo चलाने के लिए उपलब्ध नहीं है। समाधान pwsh के भीतर pwsh आह्वान करना है:

सुडो pwsh -c हटाने-मद कुछ

मुख्य जटिलता तब होती है जब यह एक पाइपलाइन के भीतर कुछ होता है:

get-item foo * | सूद हटाने-मद

@ स्टीवएल-एमएसएफटी कम से कम अवधारणा इतनी जटिल नहीं है। कृपया मुझे बताओ आपको क्या लगता है।

हमें बस सभी मामलों को संभालने के लिए सुडो, सु और लॉगिन बायनेरिज़ के संयोजन की आवश्यकता है।

इसे करने की आवश्यकता है:

• कॉलबैक के लिए एक यूनिक्स सॉकेट बनाएं और केवल गंतव्य उपयोगकर्ता को इसकी अनुमति दें।
• पुष्टि करें कि कॉलर को sudo एक्सेस की अनुमति है (मुझे लगता है कि कोई व्यक्ति केवल su , sudo और लॉगिन के स्रोत कोड को कॉपी कर सकता है)
  
  
  
  • यदि / etc / sudoers मौजूद हैं, तो इसे पार्स करने की आवश्यकता है
    
    
    
    
    
    • केवल विशिष्ट आदेश
    
    
    
    • गंतव्य उपयोगकर्ताओं के पासवर्ड का उपयोग करके
    
    
    
    • क्रेडेंशियल मान्य किए बिना (पासवर्ड रहित)
    
    
    
  
  
  • यदि ऐसा नहीं होता है, तो किसी को यह जांचने के लिए पेम को आमंत्रित करना होगा कि क्या उपयोगकर्ता को सीधे उपयोगकर्ता रूट के लिए "क्रेडेंशियल्स" पता है।
  
  
  • अगर वह गंतव्य उपयोगकर्ताओं को क्रेडेंशियल के बारे में नहीं जानता है, तो उसे एक्सेस करने से इनकार कर सकता है और अधिकार में अपवाद छोड़ सकता है।
  
  
• यदि सत्यापन पास हो गया है, तो हमें उपयोगकर्ता संदर्भ को रूट या गंतव्य उपयोगकर्ता में बदलने की आवश्यकता है।
• एक बार जब हम उपयोगकर्ता के संदर्भ को बदल देते हैं तो नई प्रक्रिया को यूनिक्स सॉकेट से जोड़कर चल रही मूल शक्तियों को वापस संचार स्थापित करने की आवश्यकता होती है।
• यदि उपयोगकर्ता "निकास" में प्रवेश करता है, तो हम यूनिक्स सॉकेट पर संकेत देते हैं, कि हम समाप्त हो चुके हैं और जैसे ही हम बाहर निकलते हैं, उपयोगकर्ता स्वचालित रूप से कॉलर्स विशेषाधिकारों पर वापस आ जाएगा, इसलिए हमें केवल शीघ्र दिखाने या अगले को निष्पादित करने के लिए होस्टिंग अधिकार की आवश्यकता है अनुदेश।
• यदि इसके बजाय मेजबान शक्तियां समाप्त हो जाती हैं, तो यूनिक्स सॉकेट बंद हो जाता है और ऊंचा पॉवरशेल निष्पादन को रोकना चाहिए और समाप्त करना चाहिए, जैसे कि यदि कोई टर्मिनल बंद करता है।

निष्पादन प्रवाह इस तरह दिखेगा:
PWSH (socket /proc/self/change-user.socket बनाता है) => PWSH-SU (पैरामीटर के रूप में सॉकेट और डेस्टिनेशन यूजर के साथ इनवाइट किया गया; PWSH-SU को रूट के रूप में चलाने के लिए suid सेट किया गया है => PWSH डेस्टिनेशन यूजर के रूप में कनेक्ट होता है; यूनिक्स सॉकेट के लिए।

सबसे अधिक समय लेने वाला हिस्सा है कि पॉवरशेल को एक यूनिक्स सॉकेट पर आंतरिक रूप से कनेक्ट करने की अनुमति देता है। इनपुट और आउटपुट को लिंक करने के लिए अन्य यूनिक्स अनुप्रयोगों को केवल पुनर्निर्देशित करना पर्याप्त नहीं है, क्योंकि हम वस्तुओं के साथ सौदा करते हैं और न कि केवल पाइप के साथ तारों के साथ।

तीनों बायनेरिज़ का उपयोग क्यों करें?
कई उपयोगकर्ताओं को ऑडिटबिलिटी खोए बिना रूट संदर्भ में स्विच करने के लिए sudo की आवश्यकता होती है।
su का उपयोग गंतव्य उपयोगकर्ताओं को क्रेडेंशियल्स का उपयोग करके किसी अन्य उपयोगकर्ता में स्विच करने के लिए किया जाता है।
लॉगिन का उपयोग एक नया लॉगिन सत्र बनाने के लिए किया जाता है।
इन सभी प्रकार की कार्यक्षमता में भी केवल एक की तुलना में कई मामलों में उपयोगी हो सकता है।

पाइप का उपयोग करना विंडोज पर इस तरह से भी काम कर सकता है जो कम आश्चर्य की बात है और अधिक सुविधाजनक है - मुझे नफरत है कि मुझे सभी "sudo" स्क्रिप्ट + UAC क्लिक के साथ एक और शेल मिलता है लेकिन इस तरह के पाइप के साथ यह केवल एक ही शेल के भीतर किया जा सकता है पहले से ही व्यवस्थापक के रूप में चल रहे एक और दुभाषिया के साथ पाइप पर संवाद करके लिनक्स पर पसंद करते हैं और शायद कुछ वास्तविक sudo सामान को लागू कर रहे हैं (उदाहरण के लिए शीघ्र समयबाह्य या आदेश के साथ sudoers फ़ाइल के रूप में कस्टम पावरशेल एंडपॉइंट के लिए वैकल्पिक)

मैं इस पर विचार देखकर वास्तव में खुश हूं, लेकिन जहां तक ​​वास्तविक कार्यान्वयन की बात है, ऐसा लगता है कि हम खुद से थोड़ा आगे निकल रहे हैं। पहली बात यह है कि सिस्टम को एक उन्नत प्रक्रिया बनाने का एक तरीका चाहिए, थ्रेड, जो भी एक असमान से। अगर हम UAC से गुजरे बिना शुरू करने के लिए PowerShell का एक ऊंचा उदाहरण नहीं बना सकते हैं, तो cmdlet चिंताओं में से कोई भी वास्तव में हल नहीं किया जा सकता है। IMO, यहां संबोधित किया जाने वाला पहला परिदृश्य होना चाहिए - आपके पास एक सीमित SSH सत्र है - आप व्यवस्थापक अनुमतियों के लिए एक नियमित exe को कैसे निष्पादित करते हैं?

मैंने यहां इसके साथ प्रयोग करना शुरू कर runas को सक्षम करने जितना आसान हो सकता है, लेकिन पहले चरण के बिना यह सब सैद्धांतिक है।

Cmdlet चिंताओं में से कोई भी वास्तव में हल नहीं किया जा सकता है अगर हम पावरएसी के एक ऊंचा उदाहरण को आरएसी के माध्यम से शुरू करने के बिना शुरू नहीं कर सकते हैं

ऐसा करने की एक संभावना में विकल्प के साथ अनुसूचित कार्य का उपयोग करना शामिल है 'उच्चतम प्रिविलेज के साथ रन'।

हाँ, लेकिन इसे बनाने के लिए, आपके पास पहले से ही व्यवस्थापक अनुमतियाँ हैं? यही पेक्टेक करता है। जहां तक ​​मुझे पता है, अभी, आपको कुछ बिंदु पर यूएसी के माध्यम से जाना होगा। मैं उस परिवर्तन को देखना चाहता हूं, और सभी SSH सत्रों को ऊंचा किया जाना, यह एक सुरक्षा चिंता का विषय है। यदि कुछ स्केची सॉफ़्टवेयर मेरी विंडोज मशीन में एसएसएच करने की कोशिश करते हैं, तो दूसरे कंप्यूटर से कहें जहां मेरे पास एक निजी कुंजी सेट है (या लूपबैक परिदृश्य), यह कुछ भी कर सकता है जो वह चाहता है।

@parkovski मेरा समाधान केवल लिनक्स /
जैसा कि सूडो वर्तमान में विंडोज पर मौजूद नहीं है, यह मेरे लिए इस मुद्दे के दायरे से बाहर है।

और यूएसी समस्या को हल करने के लिए, खिड़कियों को भविष्य में SUID और GUID को लागू करना चाहिए। बाकी सब कुछ एक लंबे समय से जारी मुद्दे के लिए सिर्फ एक गंदा काम है ...

हाँ, लेकिन इसे बनाने के लिए, आपके पास पहले से ही व्यवस्थापक अनुमतियाँ हैं?

ठीक है, लेकिन यह UAC पॉपअप को ट्रिगर नहीं करता है।

UAC को Microsoft के अनुप्रयोग संगतता टूलकिट के साथ आधिकारिक तरीके से छोड़ दिया जा सकता है।

Windows SUID और GUID का समर्थन नहीं करता है।

विंडोज को इसका समर्थन नहीं करना है और अवधारणा उस ओएस पर मान्य नहीं है।
इसका अनुमति मॉडल ACL पर आधारित है और एक भी समूह का स्वामित्व नहीं है।

यह भी खिड़कियों पर पूर्ण sudo प्रतिकृति होने की जरूरत नहीं है, बस व्यवस्थापक आदेश आह्वान करने के लिए एक अधिक अनुकूल तरीका है।

मुझे लगता है कि विंडोज समर्थन को स्थगित करना ठीक है क्योंकि विंडोज उपयोगकर्ता शायद आज एक ऊंचा पावरस्ले सत्र खोलने के आदी हैं जबकि लिनक्स उपयोगकर्ता गैर-रूट और सुडो को आवश्यकतानुसार चलाने की उम्मीद करते हैं। हम केवल यह सुनिश्चित करना चाहते हैं कि कोई भी डिज़ाइन भविष्य में विंडोज समर्थन को रोक नहीं पाए। मैं शायद इसे सरल बनाने के लिए किसी भी मनमाने उपयोगकर्ता के बजाय रूट के लिए sudo को सक्षम करने पर ध्यान केंद्रित करूंगा और मेरा मानना ​​है कि यह उपयोग का 90 +% है।

@ SteveL-MSFT

शायद किसी भी मनमाने उपयोगकर्ता के बजाय रूट के लिए sudo को सक्षम करने पर भी ध्यान दिया जाएगा

मुझे लगता है कि यह एक बड़ा अंतर नहीं होगा, लेकिन मैंने ऊपर उल्लिखित सार के लिए पूर्ण su / sudo अनुभव प्रदान किया

मुझे लगता है कि विंडोज समर्थन को स्थगित करना ठीक है क्योंकि विंडोज उपयोगकर्ता शायद आज एक उन्नत पावरस्ले सत्र खोलने के आदी हैं

जिन लोगों के साथ मैंने काम किया उनमें से अधिकांश ने केवल यूएसी को अक्षम कर दिया।

दुर्भाग्य से, यह वास्तव में कई वातावरणों में एक विकल्प नहीं है, और मुझे बहुत संदेह है कि MS UAC को पूरी तरह से ऊपर और नीचे ले जा रहा है। 😕

यह मुद्दा यूएसी के बारे में नहीं है। लेकिन मेरे दृष्टिकोण से, इसे पूरी तरह से खोद लिया जाना चाहिए और या तो एक सख्त दो खातों के साथ बदल दिया जाना चाहिए एक व्यवस्थापक एक उपयोगकर्ता (और व्यवस्थापक एक लॉगऑन के लिए उपयोग नहीं किया जा सकता) दर्शन (डिफ़ॉल्ट स्थापना आपको उन्हें बनाने के लिए मजबूर करता है) या के लिए एक ही अवधारणा * NIX है, आप उपयोगकर्ता के रूप में शुरू करते हैं और sudo और SUID / SGID-Flags का उपयोग करके आवश्यकतानुसार बढ़ाते हैं।

मैंने हाल ही में अपने $profile को निम्नलिखित जोड़ा है। मैंने इसे https://stackoverflow.com/a/56265080/118098 पर अधिक विस्तार से कवर किया

function Invoke-MySudo { & /usr/bin/env sudo pwsh -command "& $args" }
set-alias sudo invoke-mysudo

कम से कम उसके चेहरे पर, यह मेरे लिए काम करता है, और "सुडो" की अनुमति देता है"। यह https://github.com/PowerShell/PowerShell/issues/3232#issuecomment -35430308484 के अनुसार" मौजूदा पावरस्ले

हालांकि, मुझे आश्चर्य है कि बुलाने वाले संदर्भ को कॉलिंग कमांड के पूरे सत्र में देना कितना महत्वपूर्ण है। अन्य गोले में, sudo अभी भी प्रदान किए गए कमांड को एक नए संदर्भ में चलाता है।

मैंने एक बुनियादी sudo लागू किया है जो विंडोज पर प्रशासक के रूप में कमांड चलाने के लिए अच्छी तरह से काम करता है। मुझे यकीन नहीं है कि यह लिनक्स / मैक पर भी काम करेगा, क्योंकि मुझे नहीं पता कि "रनएज़" सही ढंग से ऊंचा है या उन प्लेटफार्मों पर नहीं है।

अपनी प्रोफाइल सम्पादित करें:

PS > notepad $PROFILE

निम्नलिखित sudo फ़ंक्शन जोड़ें:

function sudo {
    Start-Process -Verb RunAs -FilePath "pwsh" -ArgumentList (@("-NoExit", "-Command") + $args)
}

फिर अपने खोल में आह्वान करें। Cmdlets, निष्पादनयोग्य, कुछ भी जो सामान्य रूप से PS PS में टाइप किया जा सकता है का समर्थन करता है:

PS > sudo Remove-Item .\test.txt  # Remove a file
PS > sudo Copy-Item .\test.txt C:\  # Copy a file
PS > sudo net start w3svc  # Start IIS

यदि आप एक चर या अभिव्यक्ति में गुजरना चाहते हैं जो पूर्व-मूल्यांकन के बजाय रन टाइम पर मूल्यांकन किया जाएगा, तो इसे ब्रेसिज़ में लपेटें। उदाहरण के लिए:

PS > $myvar = "a"
PS > sudo echo $myvar  # $myvar is pre-evaluated, so the command reads: sudo echo "a"
PS > sudo { $PSVersionTable }  # with braces, $PSVersionTable is not evaluated until it is run as administrator

यदि आप व्यवस्थापक विंडो को पूर्ण होने पर बंद करना चाहते हैं, तो sudo फ़ंक्शन से "-NoExit" निकालें।

@vsalvino यह एक उपयोगी समाधान है जब GUI उपलब्ध है और इस बीच मददगार है, लेकिन यह अभी भी वास्तविक sudo नहीं है क्योंकि यह GUI एक्सेस के बिना काम नहीं करता है। एक दूरस्थ शेल (ssh) में, शाब्दिक रूप से इस काम को करने का एकमात्र तरीका एक सेवा और ग्राहक है जैसा कि मैंने यहां प्रदर्शित करने का प्रयास किया है ।

कुछ सामान्य सुझावों को संबोधित करने के लिए, क्योंकि मुझे विश्वास है कि मैंने हर संभावना पर ध्यान दिया है:

• UAC को अक्षम करना कोई समाधान नहीं है। यह एक समाधान है जिसे एक व्यक्तिगत पसंद के रूप में बनाया जा सकता है लेकिन यह इस समस्या का सामान्य समाधान नहीं है।
• UAC को पॉप अप करने वाली कोई भी चीज़ (मैंने देखी गई प्रत्येक "sudo" स्क्रिप्ट एक हल नहीं है, जिसमें एक बार सुदूर दूरस्थ सत्र शुरू करने के लिए इसे करना शामिल है।
• GUI _at all_ के लिए किसी भी चीज़ की आवश्यकता नहीं है। मान लें कि हम यहां ssh का उपयोग कर रहे हैं और GUI उपलब्ध नहीं है।
• विंडोज के लिए कुछ भी जो बड़े बदलाव की आवश्यकता है, वह समाधान नहीं है। हम UAC को कुछ बेहतर में बदल सकते हैं।
• Microsoft से एक हस्ताक्षरित बाइनरी भी एक समाधान नहीं है, क्योंकि यह तब काम नहीं करेगा जब यूएसी उच्च पर सेट होता है (मुझे wsudo readme पर यह गलत मिला; मैं इसे बाद में सही करूंगा)।
• विंडोज पर sudo का एकमात्र वास्तविक समाधान एक ऐसी सेवा है जो सफल प्रमाणीकरण पर उपयोगकर्ता प्रक्रियाओं को बढ़ाती है। मुझे अन्य विचार सुनना अच्छा लगेगा लेकिन कृपया अपना शोध पहले करें।

मूल रूप से, किसी को बहुत काम करना है, इसके आसपास कोई रास्ता नहीं है। हम जो चाहते हैं वह कुछ ऐसा है, जो एक बार PowerShell यूनिक्स पर इसका समर्थन करता है, विंडोज पर प्रतिस्थापन में एक बूंद है, और काम करता है जैसा कि आप sudo को काम करने के लिए कहेंगे (कोई GUI नहीं, कोई UAC)।

क्या हम पहले इस मुद्दे के दायरे को स्पष्ट कर सकते हैं? मुझे लगता है कि कई लोग अभी विभिन्न विषयों पर बात कर रहे हैं।
क्या यह मुद्दा है:
क) लिनक्स / मैक सिस्टम के लिए पावरशेल के भीतर सूडो को लागू करने के बारे में?
ख) खिड़कियों में एक सुडोल प्रतिकृति लागू करें?
ग) जब श्मशान के लिए विशेषाधिकारों को बढ़ाने की अनुमति दें?
घ) खिड़कियों पर अन्य उपयोगकर्ताओं को प्रतिरूपण करने की अनुमति दें?
ई) एक गैर विशेषाधिकार प्राप्त उपयोगकर्ता खाते से एक विशेषाधिकार प्राप्त उपयोगकर्ता खाते पर स्विच करने की अनुमति दें?
च) कुछ पूरी तरह से अलग?

क) के लिए https://github.com/PowerShell/PowerShell/issues/3232#issuecomment-444849067
बी) के लिए एक विंडो के रूप में भी (विंडोज़ में यूनिक्स सॉकेट भी हैं), लेकिन एक स्यूड बाइनरी के बजाय इसे एक सेवा द्वारा प्रायोजित किया जाना चाहिए (एक उपयोगकर्ता के भीतर चल रहा है जो "ऑपरेटिंग सिस्टम के भाग के रूप में कार्य करता है" विशेषाधिकार उपयोगकर्ता प्रणाली) और उस सेवा को विशेषाधिकारों की जाँच करने की भी आवश्यकता है। या खिड़कियों पर SUID / GUID अवधारणा को लागू करें।
सी के लिए) आवश्यक नहीं है जब आप पहले से ही उच्चतम विशेषाधिकार है। दूरस्थ मेजबान तक पहुँचने पर कोई विशेषाधिकार अलग नहीं है (वहाँ पहले से ही कुछ लोकलहोस्ट लूपबैक यूएसी बाईपास हैं जो इस तरह से काम करते थे)।
D) इसके अलावा a / b से भी एप्रोच लिया जा सकता है, लेकिन मुझे नहीं पता कि नेटवर्क के संसाधनों तक पहुंचने की कोशिश करते समय कैसे काम करना चाहिए, बिना यूजर्स की जानकारी के या किसी नई विंडो / एक्टिडायरेक्ट्री ऑथेंटिकेशन बैकएंड को क्राफ्ट किए।
ई के लिए) बी के रूप में भी, लेकिन क्रेडेंशियल चेकिंग की भी आवश्यकता होती है, वैकल्पिक रूप से रनस एपि को एक नए उपयोगकर्ता टोकन प्राप्त करने और उस प्रक्रिया पर नियंत्रण रखने के लिए उपयोगकर्ता नाम और पासवर्ड की अनुमति देने के लिए ढीला किया जा सकता है। (यूएसी सुरक्षा अवधारणाओं और विचारों पर पूरी तरह से विचार करना, इसलिए हम वापस बी पर हैं)।

IMO यह मुद्दा PowerShell में sudo को लागू करने के बारे में होना चाहिए जहां अंतर्निहित कार्यक्षमता पहले से मौजूद है। इस टर्मिनल समस्या में विंडोज के लिए एक सुडौल समकक्ष के बारे में चर्चा संभवतः अधिक उपयुक्त

इस टर्मिनल समस्या में विंडोज के लिए एक सुडौल समकक्ष के बारे में चर्चा संभवतः अधिक उपयुक्त है।

क्यों टर्मिनल एप्लिकेशन सुडोकू पर चर्चा करने के लिए एक बेहतर स्थान होगा, यह देखते हुए कि सीएलआई दुनिया के लिए इसका एकमात्र अभी तक का दूसरा दृश्य है? उसी तर्क से आप कॉनमू रिपॉजिटरी में टिकट दाखिल कर सकते हैं।

IMO यह मुद्दा PowerShell में sudo को लागू करने के बारे में होना चाहिए जहां अंतर्निहित कार्यक्षमता पहले से मौजूद है।

अगले पॉवर्सशेल के बिंदुओं में से एक इसका उपयोग करने वाले सिस्टम के बीच कम संगतता समस्याएं हैं। इस बारे में, केवल सिस्टम X पर कुछ करना IMO स्वीकार्य नहीं है।

मैं एक सीएलआई उपयोगकर्ता के रूप में कम देखभाल नहीं कर सकता था यदि sudo फुल लाइनेक्स सूडो में सुडर फाइल या कुछ विंडोज़ समान का उपयोग कर रहा हो। सूडो ओएस की सुविधाओं को बढ़ाने के लिए एक इंटरफेस है। इस तरह के एक इंटरफेस को 'बैकएंड' की परवाह किए बिना पहचान के करीब काम करने के लिए बनाया जा सकता है।

अन्यथा, GUI के बारे में @parkovski बिंदु खड़ा है - मैं सिर्फ इस कारण से विंडोज कोर

क्यों टर्मिनल एप्लिकेशन सुडोकू पर चर्चा करने के लिए एक बेहतर स्थान होगा, यह देखते हुए कि सीएलआई दुनिया के लिए इसका एकमात्र अभी तक का दूसरा दृश्य है? उसी तर्क से आप कॉनमू रिपॉजिटरी में टिकट दाखिल कर सकते हैं।

क्योंकि वह रेपो सिर्फ "एक टर्मिनल ऐप" नहीं है; टीम जो इसे मूल रूप से चलाती है, वह मूल रूप से विंडोज के टेक्स्ट-मोड भागों का मालिक है और पहले ही कह चुका है कि वे सूडो को लागू करने में रुचि रखते हैं जब वे समय पा सकते हैं। दूसरी ओर, PowerShell टीम और न ही ConEmu से किसी ने पेशकश की है।

मेरे विचार में विंडोज सूडो के दायरे से बाहर होने का कारण यह है कि हमने पहले ही निर्धारित कर लिया है कि इसे सही तरीके से करना बहुत बड़ी मात्रा में काम है और यह पॉवरशेल के लिए ही ऑर्थोगोनल है। पॉवरशेल मौजूद होने पर इसका उपयोग कर सकता है, लेकिन यह वास्तव में किसी विशेष शेल से एक स्वतंत्र घटक है।

दूसरी तरफ, PowerShell एक sudo बाइनरी के माध्यम से cmdlets चलाने में सक्षम है, चाहे प्लेटफ़ॉर्म की परवाह किए बिना या कि वास्तव में बाइनरी कैसे काम करती है, पूरी तरह से एक ऐसा काम है जो PowerShell का एक हिस्सा होना चाहिए, जो यहीं से संबंधित है।

मैं एक सीएलआई उपयोगकर्ता के रूप में कम देखभाल नहीं कर सकता था अगर सूडो फुल लाइनेक्स सूडो में सुडर फाइल या कुछ विंडोज़ समान का उपयोग कर रहा हो। सूडो ओएस की सुविधाओं को बढ़ाने के लिए एक इंटरफेस है। इस तरह के एक इंटरफेस को 'बैकएंड' की परवाह किए बिना पहचान के करीब काम करने के लिए बनाया जा सकता है।

हाँ, यह बिल्कुल चाहिए। यह सिर्फ इतना है कि सूडो विंडोज पर अभी तक मौजूद नहीं है, यह बहुत काम लेने वाला है, और शायद पॉवरशेल टीम द्वारा नहीं लिखा जाएगा। जब ऐसा कुछ मौजूद है, तो उम्मीद करते हैं कि PowerShell इसे इस तरह से लागू करता है जहां यह सिर्फ विंडोज पर भी काम करेगा।

वैसे भी, मैं आगे की टिप्पणियों को तब तक टालता रहूंगा जब तक हमें यहां आधिकारिक प्रतिक्रिया नहीं मिल जाती क्योंकि यह मुद्दा हर तरह की दिशा में जा रहा है।

इस पर कोई राय?
http://blog.lukesampson.com/sudo-for-windows
scoop install sudo साथ स्थापित किया गया है, इसके निकटतम मैं सोच सकता हूं। यह यूनिक्स सुडो की तरह काम करता है - ऊंचाई के साथ कमांड चलाता है। मैं इसे सभी उपयोगकर्ताओं के लिए पाइप या इंस्टॉल-मॉड्यूल के साथ उपयोग करता हूं।

ल्यूक सैम्पसन - विंडोज के लिए सूडो

विंडोज के लिए सूडो

@ Restia666Ashdoll अगर इसका नाम बदलकर Invoke-ElevatedCommand कर दिया जाए, तो मैं ठीक हूं।
ऐसा इसलिए है क्योंकि सूद न केवल कमांड को बढ़ाने के लिए जिम्मेदार है, बल्कि उपयोगकर्ताओं और "छोड़ने" ( sudo -u nobody command ) विशेषाधिकारों के लिए भी जिम्मेदार है। पहले से ही पहले से मौजूद नामों का फिर से उपयोग करना एक बुरा विचार साबित हुआ है, खासकर अगर कार्यक्षमता और पैरामीटर अलग-अलग हों।
मैंने पहले ही ऊपर उल्लिखित किया था कि प्रतिरूपण के साथ एक सच्चा सूद कैसा दिखेगा और यह कैसे काम कर सकता है।

@ Restia666Ashdoll कृपया इस सूत्र में इस टिप्पणी को पढ़ें।

@ कोपोव्स्की केवल- sudo pip install httpie ।

आपने मेरी पोस्ट नहीं पढ़ी क्या आपने?

मुझे नहीं लगता कि "विन्डोज़ डिसकशन ऑन नॉट ए सूडो" जैसी किसी चीज़ को शामिल करने के लिए शीर्षक को संपादित करने का कोई तरीका है? मुझे पता है कि मैं व्यक्तिगत रूप से किसी भी दायित्व के अधीन नहीं हूँ, इस बात का जवाब देने के लिए, लेकिन लोग अपने शोध को किए बिना एक ही बात कहते रहते हैं।

मैंने इस लड़के के अनसब्सक्राइब लिंक पर क्लिक करने की कोशिश की और यह दुर्भाग्य से मुझे उसके बिना लॉग इन किए ऐसा नहीं करने देगा।

मैंने @troymoore को GitHub को पहले ही सूचित

मैं एक अनोखे और अलग तरह के समाधान का प्रस्ताव देना चाहूंगा, जिसके बारे में मैंने यहां बात नहीं की है। एक उन्नत प्रक्रिया को कमांड्स को क्रमबद्ध करने के लिए नामित पाइप जैसी किसी चीज़ का उपयोग करने के बारे में क्या है जो फिर कॉलिंग प्रक्रिया के लिए इसे क्रमबद्ध आउटपुट देता है?

यहां एक कार्यप्रणाली मॉड्यूल है जो दर्शाता है कि यह NT पर कैसे काम करेगा: https://github.com/mmillar-bolis/Invoke-AsAdmin

यह बिल्कुल सही नहीं है, लेकिन यह एक और कंसोल को खोले बिना सरल कार्यों और पिपलाइन्स को ऊपर उठाता है। मेरा यह इरादा नहीं है कि मैं इसे एक सूडो-अलाइक के रूप में पिच करूं क्योंकि मुझे विश्वास नहीं है कि सूडो के डिजाइन को क्लोन करना सबसे अच्छा दीर्घकालिक समाधान होगा, लेकिन मैंने सोचा कि इस नेबुलेस एलीगेशन समस्या के लिए एक अलग दृष्टिकोण आगे रचनात्मक चर्चा कर सकता है।

संपादित करें: मैं भी उल्लेख करना चाहिए, इस UACless ऊंचाई के लिए @parkovski के अनुरोध को पूरा नहीं होगा।

यह JEA की तरह दिखता है।
क्रमांकन के लिए, सभी मॉड्यूल इसका समर्थन नहीं करते हैं।

यह JEA की तरह दिखता है।

हां, यह विचार है।

क्रमांकन के लिए, सभी मॉड्यूल इसका समर्थन नहीं करते हैं।

जैसा कि आपने शायद कोड में देखा था, यह पाठ धाराओं के साथ कम किया गया है जो पाइप के दूसरे छोर पर कोड को फिर से संगठित करता है। मैं मानता हूं कि यह धीमा है, लेकिन फिर भी एक उपन्यास वर्कअराउंड है। JEA का आपका उल्लेख फिर से यहां एक प्रभावशाली कारक था; यदि किसी के कोड का कुछ हिस्सा ऊंचा करने की आवश्यकता नहीं है, तो यह नहीं होना चाहिए।

मॉड्यूल NT पर GUI सत्रों के भीतर इंटरैक्टिव कमांड को बढ़ाने की एक बहुत ही विशिष्ट समस्या को हल करने के लिए है और इससे अधिक कुछ नहीं है। यह बात पाँच साल पहले शुरू हुई थी, क्योंकि किसी ने भी सोचा था कि देशी एसटी NT के लिए एक चीज़ हो सकती है। मैं @पारकोवस्की से सहमत

फिर भी, निर्वाण की गिरावट को रोकने के बजाय, जो कि एक सुडौल जैसा कार्यान्वयन NT पर मौजूद होना चाहिए, इससे पहले कि PowerShell कमांड ऊंचाई के किसी भी रूप का समर्थन कर सकता है, हम पहले शेल सत्र के भीतर JEA इंटरएक्टिव उन्नयन के किसी भी रूप के लिए धक्का क्यों नहीं देते हैं?

यह कम से कम NT दुनिया में बेहतर सुरक्षा अभ्यास को बढ़ावा देगा। अंतःक्रियात्मक रूप से चलाने के लिए और अलग कंसोल सत्र शुरू करने के लिए दोनों को एक cmdlet क्यों नहीं लागू किया जाता है? या इससे भी बेहतर, बस अलग-अलग उपयोग के मामलों के साथ cmdlets के अधिक संयमी सेट के साथ एक ऊंचा सत्र शुरू करने के मौजूदा तरीकों को बढ़ावा दें? यह कम से कम एक कदम आगे है।

मैं यह भी जोड़ सकता हूं कि यहां तक ​​कि पायथन एलिवेट लाइब्रेरी भी ऐसा नहीं कर सकती है जो यह मॉड्यूल करता है। क्या आपको पहले से काम नहीं करने के लिए एक और मॉड्यूल मिला है? क्योंकि मेरा मुख्य बिंदु यह है कि हो सकता है कि मेरे दिमाग से ज्यादा होशियार इस मॉड्यूल को ले सकें और यह विचार है और इसके साथ एक दिशा में चलते हैं जो NT के लिए फिट होगा। उसके बाद, हमारे पास NT और * nix के बीच में मिलने के लिए एक मंच की शुरुआत हो सकती है, जिससे हमें PowerShell के लिए अधिक सामान्य कार्यान्वयन को संशोधित करने की अनुमति मिलती है।

वह मेरे दो सेंट हैं, कम से कम। लेकिन कोड को देखकर, अगर किसी को लगता है कि भीतर के विचार अच्छे नहीं हैं, तो मैं समझूंगा। मैंने अभी तक किसी को भी इस तरह से कुछ करने की कोशिश करते नहीं देखा था।

एक मिनट के लिए सूदो की बात समझाने की मेरी निराश शिकायतों से कदम पीछे हट गए क्योंकि (ए) हाँ यह एक बहुत ही कठिन समस्या है, (बी) वास्तव में केवल एमएस द्वारा ठीक से हल किया जा सकता है (खुला स्रोत नहीं होने के लिए धन्यवाद, विंडोज), (c) यह वास्तव में देखने के लिए अच्छा है कि अन्य लोग भी इसके बारे में भावुक हैं।

मुझे पता है कि इसे ठीक से करना कितना कठिन है क्योंकि मैंने उस सड़क को शुरू कर दिया है। तो अगर केवल एक चीज है जो हमें अभी से यूएसी संवाद के लिए रख रही है, तो वह है। कम से कम इस तरह हम एक मामूली प्रयास के साथ एक क्रॉस प्लेटफॉर्म समाधान का परीक्षण कर सकते हैं।

मैं व्यक्तिगत रूप से PowerShell से जो देखना चाहता हूं, वह यूनिक्स sudo के लिए व्यापक समर्थन है, लेकिन "छद्म-सुडो" स्क्रिप्ट के कुछ रूप का समर्थन करने के लिए डिज़ाइन किया गया है क्योंकि यह अब और साथ ही भविष्य के संभावित वास्तविक Windows sudo है। मेरा विचार यह है कि अगर कोई व्यक्ति यह बताता है कि एक विंडोज सुडो आखिर कैसे काम करेगा लेकिन यूएसी प्रतिबंध को छोड़ देता है, तो यह बिल्कुल सीधा होना चाहिए, हमें कुछ ऐसा दें जो मूल रूप से उतना ही अच्छा हो जितना कि अब के लिए मिलता है, और जब हमें असली चीज़ मिलती है तो यह बहुत सुंदर है बहुत बस एक ड्रॉप-इन प्रतिस्थापन हो।

जाहिर है इसका मतलब है कि किसी को एक ऐसे मॉडल के साथ आना होगा जो यूनिक्स यूआईडी / जीआईडी ​​मॉडल और विंडोज साइड / एसएल मॉडल दोनों को समझता हो या कम से कम अनुवाद करता हो। उम्मीद है कि यह व्यक्ति एक चुनौती पसंद करता है। यह अनुमान लगाने पर भी एमएस के भीतर टर्मिनल और विंडोज़ सुरक्षा टीमों के साथ कुछ वार्ता की आवश्यकता होगी।

मुझे लगता है कि जितने लोगों ने अपने स्वयं के सर्वोत्तम प्रयास किए हैं, और इस तरह से कुछ का समर्थन करने से यह करने का एक मजबूत तरीका डिजाइन करने में मदद मिल सकती है, क्यों नहीं?

सिडेनोट - इन वर्कअरो स्क्रिप्ट्स को लिखने वाला कोई भी व्यक्ति उस समय की विशेषता पर विचार कर सकता है जो सूडो के पास है, जितना कि पॉपअप है उतना ही कष्टप्रद है।

हम Start-Process pwsh -NoNewWindow -Credential $cred बारे में सोच सकते थे। यह काम नहीं करता है लेकिन कर सकता है।

जाहिर है इसका मतलब है कि किसी को एक ऐसे मॉडल के साथ आना होगा जो यूनिक्स यूआईडी / जीआईडी ​​मॉडल और विंडोज साइड / एसएल मॉडल दोनों को समझता हो या कम से कम अनुवाद करता हो। उम्मीद है कि यह व्यक्ति एक चुनौती पसंद करता है। यह अनुमान लगाने पर भी एमएस के भीतर टर्मिनल और विंडोज़ सुरक्षा टीमों के साथ कुछ वार्ता की आवश्यकता होगी।

यूनिक्स में भी ऐक्सल्स हैं और विंडोज़ में पॉज़िक्स कम्पैटिबिलिटी है और कम से कम अगर यह डोमेन ज्वाइंट है तो एक प्राइमरी ग्रुप एट्रिब्यूट भी है जिसका हम इस्तेमाल कर सकते हैं (साथ ही पॉज़िक्स एट्रिब्यूट्स भी)। यह बस गैर- डोमेन के लिए कार्यान्वित होने की आवश्यकता होगी जो विंडोज़ क्लाइंट्स में शामिल हो गई है (या अब User माना जाता है)।

यूनिक्स और विंडोज़ की अनुमति के लिए सामान्य मॉडल मूल रूप से है:
एक मालिक उपयोगकर्ता और कुछ अपेक्षित ACE (उपयोगकर्ता, समूह और अन्य) के साथ एक मालिक समूह के साथ ACLs।

के रूप में हम यूनिक्स अनुमतियों को मैप कर सकते हैं:
uid => मालिक SID
gid => उपयोगकर्ता का प्राथमिक समूह SID जिसने ऑब्जेक्ट बनाया है।
उपयोगकर्ता => निर्माता स्वामी आईडी S-1-3-0
समूह => निर्माता समूह आईडी S-1-3-1
अन्य => विश्व / हर कोई एस-1-1-0
यूनिक्स पर एसएलएल सूची से uids को मैप करना थोड़ा अधिक जटिल है क्योंकि हमें यह विचार करने की आवश्यकता है कि सिस्टम एक ldap, सक्रिय निर्देशिका या किसी अन्य निर्देशिका का हिस्सा हो सकता है। केवल दो मामले जिन्हें मैं पावरशेल के दायरे में मानता हूं वे कोई निर्देशिका नहीं हैं और ldap / सक्रिय निर्देशिका नहीं है।
पहले मामले में मैं S-1-6-1-uid और S-1-6-2-gid का उपयोग करने का सुझाव दूंगा (S-1-6 संभालने के लिए अभी भी उपलब्ध है और जिम्मेदार टीम इस उद्देश्य के लिए इसे आवंटित करने के लिए तैयार है। )।
और 2 के मामले के लिए हमें सिर्फ प्रमाणीकरण बैकएंड के लिए यूआईडी को हल करने की आवश्यकता है। एक पैर प्रदान करने के लिए ldap / सक्रिय निर्देशिका सर्वर जिम्मेदार है।
और अंत में नक्शे के लिए कुछ विशेष मामले हैं:
uid 0 => S-1-5-32-544
gid 0 => S-1-6-500 (और S-1-5-21 - * - 500)
अधिकांश अन्य अच्छी तरह से ज्ञात sids को कॉन्फिग फ़ाइल के माध्यम से या किसी प्रकार की एपीआई के माध्यम से प्रबंधित किया जा सकता है (या बस उन्हें ड्रॉप करें क्योंकि वे वैसे भी उपयोग किए जाने की संभावना नहीं हैं)

यदि हम गो-एसीएल / सेट-एसीएल जैसे कमांड में शेल बिल्ड में ऐसा करते हैं, तो यह जानने के बिना कि सिस्टम डिस्क पर कैसे संग्रहीत किया जाता है, बिना यूनिक्स सिस्टम पर काम करना शुरू कर देगा।

@ mmillar-bolis मैंने पहले से ही यहां सॉकेट्स का उपयोग करने का सुझाव दिया था: https://github.com/PowerShell/PowerShell/issues/3232#issuecomment -444849067

हम स्टार्ट-प्रोसेस pwsh -NoNewWindow -Credential $ क्रेडेंशियल के बारे में सोच सकते हैं। यह काम नहीं करता है लेकिन कर सकता है।

अपडेट:। नेट कोर (और मुझे लगता है कि विंडोज एपीआई भी) एक ही कंसोल से जुड़ी नई प्रक्रिया को चलाने की अनुमति नहीं देता है।

तो जिस तरह से हम उपयोग कर सकते हैं वह एक उन्नत विंडोज सेवा है। लेकिन हमें सुरक्षित रहने के लिए प्रति "sudo" ऐसी सेवा प्रक्रिया बनानी होगी।
तो समाधान नई- PSSession (या PSSession में आह्वान) स्थानीय उपयोगकर्ता को उन्नत उपयोगकर्ता क्रेडेंशियल्स के साथ होगा।

@iSazonov उन चीजों में से एक है जो आपको इसे उसी कंसोल में संलग्न करने की अनुमति देगा, जो मैंने पहले ही यहां बताई है: https://github.com/PowerShell/PowerShell/issues/3232#issuecomment-4424449067

अब जब खिड़कियां यूनिक्स सॉकेट्स का समर्थन करती हैं, तो हम उन्हें या नामित पाइपों का उपयोग कर सकते हैं और विशेषाधिकार प्राप्त करने के लिए विशेषाधिकार प्राप्त सेवा जिम्मेदार होगी और इसे हर समय चलाने की आवश्यकता होगी (जैसा कि * nix doses के लिए लिंक किए गए पोस्टिंग में उल्लेख किया गया है) ।

शायद lsas / को इस तरह की प्रमाणीकरण एपीआई क्षमता प्रदान करने के लिए विस्तारित करने की आवश्यकता हो सकती है?
इस तरह हम पूरी तरह से प्रतिरूपण प्राप्त कर सकते हैं जबकि अभी भी उसी कंसोल और इनपुट्स को सुरक्षित रूप से संलग्न करने में सक्षम हैं।

@ agowa338 आपका प्रस्ताव "डी-फैक्टो"

परंतु

तो समाधान नई- PSSession (या PSSession में आह्वान) स्थानीय उपयोगकर्ता को उन्नत उपयोगकर्ता क्रेडेंशियल्स के साथ होगा।

लोकलहोस्ट के लिए काम नहीं करता है। यह केवल AccessDenied फेंकता है।

सिवाय इनमें से एक मामला है:

• UAC बंद है
• आप व्यवस्थापक अनुमोदन मोड सक्षम किए बिना BUILDIN \ व्यवस्थापक से कनेक्ट करने का प्रयास करें।
• प्रक्रिया (शक्तियां) पहले से

यहाँ एक अच्छी व्याख्या है कि क्यों @ jborean93 द्वारा है: https://github.com/PowerShell/Win32-OpenSSH/issues/1308#issuecomment -44843046464

इसलिए हमें ब्रोकर के रूप में एक विशेषाधिकार प्राप्त सेवा कार्य करने की आवश्यकता है या एपीआई में से एक को बदलने की आवश्यकता है, लेकिन ऐसा कुछ नहीं है जो हम PowerShell / PowerShell के भीतर कर सकते हैं और आंतरिक रूप से Microsoft लोगों द्वारा प्रत्यायोजित करने की आवश्यकता होगी।

@ agowa338 टिप्पणी जो आपने संदर्भित की है वह स्थानीय विंडोज एपीआई के बारे में है, न कि

@iSazonov : क्या आपने भी लोकलहोस्ट को काम नहीं करता है। एक्सीस्टोकन का असाइनमेंट ओएस द्वारा अवरुद्ध है।

PowerShell को लोकलहोस्ट पर रीमोट करना स्थानीय कंप्यूटर पर उन्नत विशेषाधिकार प्राप्त करने की अनुमति नहीं देता है।

हालाँकि, PowerShell ने आपको लोकलहोस्ट को छोड़कर नेटवर्क के अन्य सभी होस्टों पर विशेषाधिकार बढ़ा दिए हैं (यह मानकर कि आप डोमेन-एडमिन के सदस्य हैं, आदि)।

यही कारण है कि हमें खिड़कियों पर एक सूडो समकक्ष की आवश्यकता है। यदि पॉवरशेल रीमोटिंग इस तरह से व्यवहार करेगा कि आपको लगता है कि यह करता है कि यह टिकट डॉक्स में एक उदाहरण लिखकर बंद किया जा सकता है क्योंकि कार्यक्षमता पहले से मौजूद है।

@ agowa338 सुरक्षा सुरक्षा के कारण यह आपके लिए काम नहीं करता है। यह OS फीचर नहीं है। आप WinRM को डॉक्स https://docs.microsoft.com/en-us/powershell/module/microsoft.powershell.core/about/about_remote_troublesourcing में वर्णित के रूप में कॉन्फ़िगर कर सकते हैं। आपके द्वारा संदर्भित समस्या यह भी कहती है कि यह SSH के लिए काम करता है (कदम वहाँ संदर्भित लेख में हैं)।

जैसा कि कार्यक्षमता पहले से मौजूद है।

अनुरोध है कि काम करना है "sudo Remove-Item foo.txt जहां foo.txt का स्वामित्व है"।
यह काम नहीं करता है लेकिन हम चाहेंगे।
समस्या के दो भाग हैं: भाषा और कार्यान्वयन में वाक्य रचना चीनी।

यदि आप अपने प्रस्ताव के बारे में अधिक सोचते हैं तो आपको पता चलता है कि आपके पास प्रति उपयोगकर्ता / प्रति सत्र / प्रति रनस्पेस / प्रति कार्यक्षेत्र शब्‍दावली संदर्भ होना चाहिए। फिर आपको सुरक्षा अनुपालन आवश्यकताओं को संबोधित करना होगा और आपको डिफ़ॉल्ट कॉन्फ़िगरेशन में "एक्सेस अस्वीकृत" मिलेगा। उसके बाद आपका प्रस्ताव पहले से लागू PowerShell रीमोटिंग के समान होगा।

about_Remote_Troublesourcing - पॉवरशेल

सुरक्षा सुरक्षा के कारण यह आपके लिए काम नहीं करता है। यह OS फीचर नहीं है। आप डॉक्स में वर्णित अनुसार WinRM को कॉन्फ़िगर कर सकते हैं

@iSazonov क्या आप इसे थोड़ा और विस्तृत कर सकते हैं? मैं उस मशीन को और किसी भी मशीन से नेटवर्क में किसी अन्य मशीन को रिमोट कर सकता हूं, लेकिन उनमें से कोई भी लोकलहोस्ट से नहीं। और हाँ मैंने वो पेज पढ़ा।

अनुरोध है कि काम करना है "sudo Remove-Item foo.txt जहां foo.txt का स्वामित्व है"।

गैर-विंडोज सिस्टम के लिए हम वहां रीसर्च करने के लिए यूनिक्स सॉकेट अप्रोच का उपयोग कर सकते हैं।

क्या आप इसे थोड़ा और विस्तृत कर सकते हैं? मैं उस मशीन को और किसी भी मशीन से नेटवर्क में किसी अन्य मशीन को रिमोट कर सकता हूं, लेकिन उनमें से कोई भी लोकलहोस्ट से नहीं। और हाँ मैंने वो पेज पढ़ा।

अधिकांश हमले स्थानीय ऊंचाई को लक्षित करते हैं। तो सभी विन्यास "डिफ़ॉल्ट रूप से सुरक्षित" है। WMI, WinRM, IIS लूपबैक और आदि - सभी सबसिस्टम सुविधाओं को अक्षम करते हैं जो स्थानीय उन्नयन की अनुमति देता है।
यह चर्चा के लिए इतना महत्वपूर्ण नहीं है। भले ही PowerShell रीमोटिंग हमें डिफ़ॉल्ट रूप से sudo करने की अनुमति नहीं देता है, हम इसे डिफ़ॉल्ट रूप से बंद कर सकते हैं या केवल एक इंटरैक्टिव सत्र के लिए अनुमति दे सकते हैं।

आपने खिड़कियों के बारे में बात करना शुरू कर दिया है, गैर-विंडोज़ सिस्टम के लिए हम वहां रीसर्च करने के लिए प्रतिरूपण / ऊँचाई को लागू करने के लिए यूनिक्स सॉकेट दृष्टिकोण का उपयोग कर सकते हैं।

हमारे पास सभी प्लेटफार्मों के लिए समान यूएक्स होना चाहिए। वास्तव में PSRP एक ट्रांसपोर्ट पर काम करता है - WinRM या SSH। MSFT ने कहा कि वे SSH को पसंद करते हैं लेकिन मुझे पिछले दो वर्षों में कोई ध्यान देने योग्य प्रगति नहीं दिख रही है। और यह अविश्वसनीय है कि वे _near_ भविष्य में एक तीसरा प्रोटोकॉल चाहते हैं - बहुत अधिक काम (पुरानी प्रणालियों के साथ संगतता बनाए रखने की आवश्यकता)।

अधिकांश हमले स्थानीय ऊंचाई को लक्षित करते हैं। तो सभी विन्यास "डिफ़ॉल्ट रूप से सुरक्षित" है। WMI, WinRM, IIS लूपबैक और आदि - सभी सबसिस्टम सुविधाओं को अक्षम करते हैं जो स्थानीय उन्नयन की अनुमति देता है।
यह चर्चा के लिए इतना महत्वपूर्ण नहीं है। भले ही PowerShell रीमोटिंग हमें डिफ़ॉल्ट रूप से sudo करने की अनुमति नहीं देता है, हम इसे डिफ़ॉल्ट रूप से बंद कर सकते हैं या केवल एक इंटरैक्टिव सत्र के लिए अनुमति दे सकते हैं।

मैंने कुछ समय पहले इसे सक्षम करने की कोशिश की थी, और मुझे कई अन्य लोगों द्वारा दोहराव से कहा गया था कि यह ओएस द्वारा आंतरिक रूप से प्रतिबंधित है और यह किसी भी तरह से विंडोज़ इंटर्नल्स में गहरी हुक के बिना संभव नहीं है। वास्तव में कई ने उपरोक्त संदर्भित विंडोज़ एपी प्रतिबंधों पर ध्यान दिया है और इसका उपयोग तर्क के रूप में किया गया है कि क्यों पॉवरशेल कभी भी ऐसी क्षमता प्रदान नहीं कर सकता है। और किसी ने सीवीई का भी उल्लेख किया जहां लूपबैक को जानबूझकर हटा दिया गया था। इसलिए माफी माँगता हूँ कि खरगोश छेद थोड़ा गहरा है, लेकिन मुझे काम करने के लिए इसे कॉन्फ़िगर करने की क्या आवश्यकता है? क्या वह भी कहीं प्रलेखित है?

हमारे पास सभी प्लेटफार्मों के लिए समान यूएक्स होना चाहिए। वास्तव में PSRP एक ट्रांसपोर्ट पर काम करता है - WinRM या SSH। MSFT ने कहा कि वे SSH को पसंद करते हैं लेकिन मुझे पिछले दो वर्षों में कोई ध्यान देने योग्य प्रगति नहीं दिख रही है। और यह अविश्वसनीय है कि वे निकट भविष्य में एक तीसरा प्रोटोकॉल चाहते हैं - बहुत अधिक काम (पुरानी प्रणालियों के साथ संगतता बनाए रखने की आवश्यकता)।

किसी भी मंच पर काम करने के साथ ही हमें दोनों समाधानों को आगे बढ़ाना चाहिए।

• PSRP: SSHing के लिए लोकलहोस्ट विंडोज और लिनक्स पर उन्नयन के लिए काम करता है, इसलिए psrp सबसिस्टम का उपयोग करके हमारे पास पहले से ही सही अनुमतियाँ हैं, इसलिए पासिंग ऑब्जेक्ट्स को अनुमति देने के लिए केवल पॉवरशेल परत को एक समान करना होगा। सही?
• यूनिक्स सॉकेट्स का उपयोग करने से पॉवरशेल रीमोटिंग जैसी एक समान कार्यक्षमता भी मिलेगी, लेकिन लिखने के समय के रूप में मैंने यह मान लिया कि यह स्थानीय स्तर पर टोकन स्वैपिंग करने के लिए स्थानीय सिस्टम के रूप में चल रही किसी भी प्रकार की अतिरिक्त सेवा के बिना एक कठिन सीमा है ...

इसलिए, क्योंकि पॉवरशेल रीमोटिंग पहले से ही है (और एसएएसए पहले से ही काम करता है) हमें उस समाधान को प्राथमिकता देना चाहिए जो मुझे लगता है।

और किसी ने सीवीई का भी उल्लेख किया जहां लूपबैक को जानबूझकर हटा दिया गया था।

मैं पुष्टि नहीं कर सकता। मुझे लगता है कि सीवीई डिफ़ॉल्ट रूप से लूपबैक को अक्षम कर सकता है लेकिन बिल्कुल नहीं।
यह भी देखें https://github.com/PowerShell/PowerShell/issues/3874#issuecomment -510787727

@iSazonov : यह काम नहीं करता है, यह केवल कम विशेषाधिकार पहुंच टोकन प्रदान करता है, लेकिन उन्नत पहुंच टोकन (जैसे Mandatory Label\High Mandatory Level ) नहीं। भले ही TrustedHosts मेरे लिए * सेट है, फिर भी मुझे कम विशेषाधिकार वाले शक्तियां से प्रशासनिक अनुमति नहीं मिलती है। Enter-PSSession के बाद भी लॉगऑन टोकन हमेशा इंटरएक्टिव होता है।
मैं वास्तव में Enter-PSSession localhost -ScriptBlock {} लेकिन पासिंग क्रेडेंशियल "एक्सेस अस्वीकृत" का कारण बनता है। , यह हमेशा "पहुँच अस्वीकृत" फेंकता है कि अन्य सिस्टम को अक्षम किया गया था।

लेकिन मैंने अब SSH का उपयोग करने की कोशिश की और यह उम्मीद के मुताबिक काम करता है कि यह लॉगऑन टाइप नेटवर्क के साथ एलिवेटेड टोकन ( Mandatory Label\High Mandatory Level ) प्रदान करता है।

इसलिए PSCore में हम उन्नयन के लिए psrp पर भरोसा कर सकते हैं (यहां तक ​​कि स्थानीय रूप से Enter-PSSession -HostName localhost माध्यम से भी जो स्पष्ट क्रेडेंशियल पारित होने के साथ काम करता है।
जहां Enter-PSSession -ComputerName localhost -Credential $foo नहीं है (भले ही $ foo.Username वर्तमान उपयोगकर्ता के समान हो)

@ agowa338 मुझे लगता है कि हमें यहां WinRM की सुरक्षा विशेषताओं को दरकिनार नहीं करना चाहिए (यह अनुपालन संवेदी क्षेत्र है)। मैं केवल (1) संकेत दे सकता हूं कि प्रोटोकॉल की परवाह किए बिना, सुरक्षा उसी स्तर पर बनी रहनी चाहिए, जिसका तात्पर्य यह है कि SSH लूपबैक को उसी तरह से व्यवहार करना चाहिए जैसे WinRM को ध्यान में रखते हुए कि विंडोज इंटर्न कैसे काम करते हैं, (2) PS sudo कार्यान्वयन को पूरा करना चाहिए कोई भी परिवहन।

@iSazonov : मैंने एक कारनामे के लिए नहीं कहा, लेकिन केवल इसे सक्षम करने के लिए कॉन्फ़िगर करने की आवश्यकता है। इसके अलावा आप केवल एक ही सीम लेते हैं जो यह पता लगाता है कि लूपबैक को बढ़ाने के लिए WinRM को कैसे कॉन्फ़िगर किया जाए।
मैंने बहुत लंबे समय के लिए सक्षम करने की कोशिश की है। सभी प्रश्न (स्टैकओवरफ्लो, रेडिट, गितुब मुद्दों पर ...) मैं "विंडोज़ विर्ड" में अंत में आता हूं, "पता नहीं क्या खिड़कियां होती हैं", "यह कहीं भी प्रलेखित नहीं है", "विंडोज प्रदान नहीं करता है" वह क्षमता "," इसके बजाय लिनक्स का उपयोग करें "," यूएसी को अक्षम करें "," आपको एक ब्रोकर सेवा लिखने की आवश्यकता है जो सिस्टम विशेषाधिकारों के साथ चलती है "। तो कृपया अगर आप इसे समझ गए हैं, तो अपना ज्ञान साझा करें।

मैं केवल (1) संकेत दे सकता हूं कि प्रोटोकॉल की परवाह किए बिना, सुरक्षा उसी स्तर पर बनी रहनी चाहिए

उससे आपका क्या आशय है?

जिसका अर्थ है कि SSH लूपबैक को उसी तरह से व्यवहार करना चाहिए जैसे कि WinRM खाते में लेता है कि विंडोज इंटर्न कैसे काम करते हैं

वैसे SSH की एक प्रणाली सेवा है जो पृष्ठभूमि में ब्रोकर के रूप में कार्य करती है। यह एक नेटवर्क एक्सेस टोकन प्रदान करता है ...

(2) पीएस सूडो कार्यान्वयन किसी भी परिवहन पर काम करना चाहिए।

खैर यह बिल्कुल उसी कारण से WinRM से अधिक नहीं है। तो अगर यह सच है कि आपने क्या कहा कि हमें लूपबैक WinRM को सक्षम करने के लिए प्रलेखन की आवश्यकता है।

यदि आप इसे समझ गए हैं, तो अपना ज्ञान साझा करें।

@ agowa338 MSFT टीम ने मुझसे सार्वजनिक रूप से सुरक्षा पर चर्चा नहीं करने के लिए कहा और मैं सीओसी का पालन करता हूं। मैं इस विषय का गहराई से पता लगाने की आपकी इच्छा का समर्थन करता हूं, लेकिन इस चर्चा के हिस्से के रूप में, यह एमएसएफटी के लिए सिरदर्द है कि इस समाधान को विंडोज में कैसे एकीकृत किया जाए और सुरक्षा अनुपालन कैसे रखा जाए।

वैसे इससे किसी का भला नहीं होता।

इसे समन करने के लिए:

• आप कहते हैं कि विंडोज़ में WinRM के भीतर क्षमताओं की तरह सुडोलता है।
• यह न तो प्रलेखित है कि यह मौजूद है और न ही इसे सक्षम / अक्षम कैसे करें।
• इसका उपयोग कैसे करना है, इसका खुलासा करना सुरक्षा जोखिम होगा।

क्षमा करें, लेकिन यह एक पिछले दरवाजे की तरह लगता है और एक विशेषता नहीं है। यह आपके अलावा किसी के लिए भी अनुपयोगी है।
अस्पष्टता के माध्यम से भी सुरक्षा अतीत में काम नहीं किया है ...

तो हम वापस आ गए हैं यह वर्तमान में लागू नहीं है और हमें ब्रोकर सेवा की आवश्यकता है ...

@ agowa338 हमने निष्कर्ष निकालने के लिए MSFT टीम के लिए पर्याप्त जानकारी एकत्र की है। यदि उन्हें सुरक्षा मुद्दे मिलते हैं, तो वे हमें एक स्वीकार्य वैकल्पिक रास्ता दिखाएंगे।

यह संभव था लेकिन इस साल की शुरुआत में पैच किया गया था https://devblogs.microsoft.com/powershell/windows-security-change-affecting-powershell/ पैच KB4480116 और किसी भी बाद के संचयी अद्यतन के साथ .. इस अद्यतन को बढ़ाने से पहले यह संभव था। आपके विशेषाधिकार यदि आपके पास LocalAccountTokenFilterPolicy 1 पर सेट है जो winrm quickconfig करता है (और वास्तव में WinRM के लिए आवश्यक है)।

वहाँ एक नोट है, जिसमें कहा गया है कि JEA के समापन बिंदु प्रभावित नहीं होते हैं, इसलिए संभावित रूप से आप अपना खुद का PSSessionConfiguration बना सकते हैं और उससे जुड़ सकते हैं, लेकिन मैंने इसे सत्यापित करने के लिए परीक्षण नहीं किया है। व्यक्तिगत रूप से मुझे लगता है कि यह पैच मूर्खतापूर्ण है क्योंकि यह पैच पावरहोल्ड क्लाइंट को लोकलहोस्ट से कनेक्ट करने से रोकता है लेकिन आप आसानी से इसे बाईपास कर सकते हैं यदि आप जानते हैं कि आप क्या कर रहे हैं। उदाहरण के लिए मैं अभी भी SSH या किसी अन्य PSRemoting क्लाइंट का उपयोग करके UAC को छूने के बिना सीमित से ऊंचा तक जा सकता हूं

PS C:\Users\vagrant> whoami.exe /groups  # prove the current process is limited

GROUP INFORMATION
-----------------

Group Name                                                    Type             SID          Attributes

============================================================= ================ ============ ============================
======================
Everyone                                                      Well-known group S-1-1-0      Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\Local account and member of Administrators group Well-known group S-1-5-114    Group used for deny only

BUILTIN\Administrators                                        Alias            S-1-5-32-544 Group used for deny only

BUILTIN\Remote Management Users                               Alias            S-1-5-32-580 Mandatory group, Enabled by
default, Enabled group
BUILTIN\Users                                                 Alias            S-1-5-32-545 Mandatory group, Enabled by
default, Enabled group
BUILTIN\Performance Log Users                                 Alias            S-1-5-32-559 Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\REMOTE INTERACTIVE LOGON                         Well-known group S-1-5-14     Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\INTERACTIVE                                      Well-known group S-1-5-4      Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\Authenticated Users                              Well-known group S-1-5-11     Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\This Organization                                Well-known group S-1-5-15     Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\Local account                                    Well-known group S-1-5-113    Mandatory group, Enabled by
default, Enabled group
LOCAL                                                         Well-known group S-1-2-0      Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\NTLM Authentication                              Well-known group S-1-5-64-10  Mandatory group, Enabled by
default, Enabled group
Mandatory Label\Medium Mandatory Level                        Label            S-1-16-8192

PS C:\Users\vagrant> ssh vagrant<strong i="11">@localhost</strong> whoami.exe /groups  # prove that SSH is elevated
vagrant<strong i="12">@localhost</strong>'s password:

GROUP INFORMATION
-----------------

Group Name                                                    Type             SID          Attributes

============================================================= ================ ============ ============================
===================================
Everyone                                                      Well-known group S-1-1-0      Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\Local account and member of Administrators group Well-known group S-1-5-114    Mandatory group, Enabled by
default, Enabled group
BUILTIN\Administrators                                        Alias            S-1-5-32-544 Mandatory group, Enabled by
default, Enabled group, Group owner
BUILTIN\Remote Management Users                               Alias            S-1-5-32-580 Mandatory group, Enabled by
default, Enabled group
BUILTIN\Users                                                 Alias            S-1-5-32-545 Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\NETWORK                                          Well-known group S-1-5-2      Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\Authenticated Users                              Well-known group S-1-5-11     Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\This Organization                                Well-known group S-1-5-15     Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\Local account                                    Well-known group S-1-5-113    Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\NTLM Authentication                              Well-known group S-1-5-64-10  Mandatory group, Enabled by
default, Enabled group
Mandatory Label\High Mandatory Level                          Label            S-1-16-12288

PS C:\Users\vagrant> python -c "from pypsrp.client import Client; c = Client('localhost', username='vagrant', password='
<password>', ssl=False); print(c.execute_ps('whoami.exe /groups')[0])"

GROUP INFORMATION
-----------------

Group Name                                                    Type             SID          Attributes

============================================================= ================ ============ ============================
===================================
Everyone                                                      Well-known group S-1-1-0      Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\Local account and member of Administrators group Well-known group S-1-5-114    Mandatory group, Enabled by
default, Enabled group
BUILTIN\Administrators                                        Alias            S-1-5-32-544 Mandatory group, Enabled by
default, Enabled group, Group owner
BUILTIN\Remote Management Users                               Alias            S-1-5-32-580 Mandatory group, Enabled by
default, Enabled group
BUILTIN\Users                                                 Alias            S-1-5-32-545 Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\NETWORK                                          Well-known group S-1-5-2      Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\Authenticated Users                              Well-known group S-1-5-11     Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\This Organization                                Well-known group S-1-5-15     Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\Local account                                    Well-known group S-1-5-113    Mandatory group, Enabled by
default, Enabled group
NT AUTHORITY\NTLM Authentication                              Well-known group S-1-5-64-10  Mandatory group, Enabled by
default, Enabled group
Mandatory Label\High Mandatory Level                          Label            S-1-16-12288

हम देख सकते हैं कि SSH का उपयोग करते हुए हमारे पास एक ऊंचा टोकन है, हम यह भी देख सकते हैं कि एक 3 पार्टी लाइब्रेरी का उपयोग करके हम अभी भी लोकलहोस्ट PSRemoting का उपयोग कर सकते हैं जो एक उन्नत टोकन बनाता है और पैच इस कार्यक्षमता का कुल ब्लॉक नहीं है।

मैं इसे सुरक्षा के मुद्दे के रूप में नहीं देखता या सुरक्षा सीमा को पार करता हूं जैसा कि एमएस ने बार-बार कहा है कि यूएसी सुरक्षा सीमा नहीं है

• https://blogs.technet.microsoft.com/markrussinovich/2007/02/12/psexec-user-account-control-and-security-boundaries/
• https://blogs.msdn.microsoft.com/e7/2009/02/05/update-on-uac/

यह करीब हो सकता है या एक के समान कार्य कर सकता है लेकिन यह मूर्खतापूर्ण नहीं है। UAC को दरकिनार करने के उन तरीकों में से एक ज्ञात और प्रलेखित LocalAccountTokenFilterPolicy रजिस्ट्री संपत्ति है। इस संपत्ति का स्पष्ट उद्देश्य यह सुनिश्चित करने के लिए है कि नेटवर्क लॉगऑन हमेशा ऊंचा हो और फ़िल्टर किए गए टोकन न हों और यह स्पष्ट रूप से कहता है कि यह सक्षम नहीं होने से "लूपबैक" हमलों को रोकता है।

उन उपयोगकर्ताओं की बेहतर सुरक्षा के लिए जो स्थानीय प्रशासक समूह के सदस्य हैं, हम नेटवर्क पर यूएसी प्रतिबंधों को लागू करते हैं। यह तंत्र "लूपबैक" हमलों के खिलाफ रोकने में मदद करता है। यह तंत्र स्थानीय दुर्भावनापूर्ण सॉफ़्टवेयर को प्रशासनिक अधिकारों के साथ दूरस्थ रूप से चलाने से रोकने में मदद करता है।

अंततः इसका मतलब है कि गैर-संवादात्मक फैशन में एक व्यवस्थापक से सीमित तक अपने विशेषाधिकारों को बढ़ाने के लिए विंडोज पर वास्तव में कोई आधिकारिक तरीका नहीं है। Start-Process ... -Verb Runas का उपयोग करना काफी सरल है लेकिन UAC प्रॉम्प्ट प्रदर्शित करने के लिए एक इंटरैक्टिव लॉगऑन की आवश्यकता होती है। सुडो जैसा तंत्र होने से इस समस्या को कम करने में मदद मिलेगी लेकिन इसे ठीक से करने के लिए विंडोज में ही काम करने की आवश्यकता होगी और पावरशेल विशिष्ट नहीं होना चाहिए। "वर्कअराउंड" हैं, लेकिन मैं उन्हें आधिकारिक नहीं कहूंगा और केवल WinRM को सक्षम करने के लिए एक ज्ञात बायप्रोडक्ट हूं।

शक्ति कोशिका

PowerShell को प्रभावित करने वाला Windows सुरक्षा परिवर्तन |

PowerShell को प्रभावित करने वाले Windows सुरक्षा परिवर्तन 9 जनवरी, 2019 हाल ही में (1/8/2019) Windows सुरक्षा पैच CVE-2019-0543, ने PowerShell रीमोटिंग परिदृश्य के लिए ब्रेकिंग परिवर्तन पेश किया है। यह एक संकीर्ण रूप से फैला हुआ परिदृश्य है जिसका अधिकांश उपयोगकर्ताओं के लिए कम प्रभाव होना चाहिए। ब्रेकिंग परिवर्तन केवल स्थानीय लूपबैक रीमोटिंग को प्रभावित करता है,

मार्क का ब्लॉग

PsExec, उपयोगकर्ता खाता नियंत्रण और सुरक्षा सीमाएँ

मैंने Windows XP पर एक प्रशासनिक खाते से मानक-उपयोगकर्ता अधिकारों के साथ प्रक्रियाओं को निष्पादित करने के लिए एक आसान तरीका के रूप में डेढ़ साल पहले PsExec पर -l स्विच शुरू किया। लिमिटेड यूजर के रूप में रनिंग में - आसान तरीका मैंने बताया कि कैसे PsExec एक सुरक्षा संदर्भ बनाने के लिए CreateRestrictedToken API का उपयोग करता है ...

इंजीनियरिंग विंडोज 7

UAC पर अपडेट करें

हाय, जॉन DeVan यहाँ हाल ही में UAC प्रतिक्रिया के बारे में बात करने के लिए जो हम प्राप्त कर रहे हैं। विंडोज 7 को खत्म करने वाले हमारे अधिकांश काम प्रतिक्रिया पर प्रतिक्रिया देने पर केंद्रित हैं। इंजीनियरिंग निर्णय लेने की प्रक्रिया के कुछ आयामों पर UAC प्रतिक्रिया दिलचस्प है। मैंने सोचा था कि उन आयामों की खोज करना एक दिलचस्प ई 7 के लिए ...

@iSazonov इन सुझावों में से कोई भी _werin से एक सांत्वना-इंटरैक्टिव_ कमांड ऊंचाई को पूरा नहीं करेगा, एक ही कंसोल सत्र_, विशेष रूप से एक वातावरण में _lacks UAC_। ऐसा प्रतीत होता है कि आप इन मामलों में Microsoft की ओर से बोल सकते हैं, तो क्या आप स्पष्ट करेंगे कि क्या वे इस तरह की सुविधा शुरू करने में रुचि नहीं रखते हैं जैसा कि मैंने वर्णित किया है?

यदि ऐसा है, जैसा कि मैंने उपरोक्त पदों से व्याख्या की है, तो इस धागे को बंद करना समझदारी है, क्योंकि हममें से बाकी उपयोगकर्ताओं को समाधानों के लिए कहीं और देखना होगा जैसे @parkovski के टोकनसेवर विचार।

ऐसा प्रतीत होता है कि आप इन मामलों में Microsoft की ओर से बोल सकते हैं

मैं परियोजना का एक सामुदायिक अनुरक्षक हूँ, MSFT सदस्य नहीं और मैं Microsoft की ओर से नहीं बोल सकता।

क्या आप स्पष्ट करेंगे कि क्या वे इस तरह की सुविधा शुरू करने में दिलचस्पी नहीं रखते हैं जैसा कि मैंने इसका वर्णन किया है?

_ सभी प्रस्तावों का मूल्य है; उनमें से कोई भी खारिज नहीं किया जाता है। चर्चा केवल सभी संभावित प्रस्तावों को एकत्रित करने के लिए है ।_

वर्तमान में मैं सभी प्रस्तावों को संक्षेप में प्रस्तुत करने की कोशिश कर रहा हूं ताकि हम आगे बढ़ सकें और स्थिर न हों।

वह मैं देख रहा हूं।
मुख्य परिदृश्य विंडोज़ पर यूनिक्स उपयोगकर्ताओं को अपनाने का है।

• ऐतिहासिक रूप से यूनिक्स उपयोगकर्ता एक कंसोल में काम करते हैं और सुडोल मूल रूप से उन्हें _same_ कंसोल में उन्नत अधिकारों के साथ काम करने में मदद करते हैं
• ऐतिहासिक रूप से विंडोज उपयोगकर्ता जरूरत पड़ने पर एलिवेटेड राइट्स कंसोल के साथ नई विंडो खोलते हैं। यह कई वर्षों से अच्छी तरह से काम करता है क्योंकि यह बहु-विंडोज़ वातावरण में सुविधाजनक है। (विंडोज उपयोगकर्ता विंडोज कोर और नैनो को ध्यान में रखते हुए pssudo से भी लाभ उठा सकते हैं)

इसलिए उम्मीदें हैं:

• pssudo इंटरएक्टिव सत्रों में ही काम करता है
• Pssudo नया कंसोल नहीं खोलता (UAC विंडो विंडोज़ पर स्वीकार्य है, हम विंडोज सुरक्षा और आत्मा को तोड़ना नहीं चाहते हैं)
• pssudo समय पर कैश क्रेडेंशियल्स
• pssudo सुरक्षा के लिए सत्र की स्थिति को कैश नहीं करता है
• सभी प्लेटफार्मों पर समान यूएक्स (संभव के रूप में) है
• pssudo देशी कमांड चलाता है
• pssudo PowerShell स्क्रिप्ट ब्लॉक / फ़ाइलों को चलाता है

कार्यान्वयन विवरण:

• पॉवरशेल रेमोटिंग सबसे अधिक शक्ति और कार्यात्मक समाधान है। यह पहले से ही लागू है और काम करता है। दूसरों को प्रति उपयोगकर्ता / प्रति सत्र / प्रति रनस्पेस / स्कोप स्थिति में PowerShell स्क्रिप्ट ब्लॉक को निकालने के लिए इस कार्यक्षमता का भी अनुकरण करना होगा।
• पसंदीदा परिवहन WinRM है क्योंकि सभी विंडोज बुनियादी ढांचे पर आधारित है। WinRM में कुछ निवेश की आवश्यकता है, हालांकि MSFT यह नहीं चाहता है क्योंकि यह SOAP पर आधारित है।
• SSH परिवहन हो सकता है। यह अभी भी विंडोज के लिए मानक नहीं है। कार्यान्वयन और रखरखाव के लिए एक बड़े निवेश की आवश्यकता है। और पुराने सिस्टम को सपोर्ट करने में समस्या है।
• अन्य ट्रांसपोर्ट जैसे यूनिक्स सॉकेट। न केवल बुनियादी ढांचे में बल्कि पॉवरशेल में भी बड़े निवेश की आवश्यकता है।

@ mklement0 मुझे आश्चर्य है कि मैं यहाँ है कि आप आम तौर पर महान करते हैं :-) आप मुझे एक प्रतिद्वंद्वी होने के नाते लूटते हैं :-)

क्यों नहीं एक विंडोज़ बाइनरी लिखी जाए जो विशेषाधिकारों की आवश्यकता होती है जो कि जो कुछ भी कमांड इसे पारित करता है उसके साथ एक शक्तियुक्त उदाहरण शुरू करता है। ठीक से काम करने के लिए यह एक कंसोल मोड ऐप होना चाहिए। फिर लिनक्स के लिए, हम एक स्क्रिप्ट लिखते हैं जिसमें अनुमतियों की आवश्यकता होती है जो प्रदान किए गए आदेशों के साथ एक पॉवरशेल इंस्टेंस शुरू करता है। यदि यह व्यवहार में काम करता है, जैसा कि यह सिद्धांत में करता है, तो शक्तियां उन्नत अनुमतियों के साथ लॉन्च की जाएंगी, कमांड चलाता है और बाहर निकलता है।

क्यों नहीं एक विंडोज़ बाइनरी लिखी जाए जो विशेषाधिकारों की आवश्यकता होती है जो कि जो कुछ भी कमांड इसे पारित करता है उसके साथ एक शक्तियुक्त उदाहरण शुरू करता है। ठीक से काम करने के लिए यह एक कंसोल मोड ऐप होना चाहिए।

कारण कि विंडोज़ एपीआई उसे रोकता है और कंसोल ऐप एक नई विंडो में खुलेगा। हम पहले से ही संभव workarounds के बारे में बात की थी।

एक बात ध्यान में रखना है कि यह कैसे भी लागू हो, कोई भी प्रक्रिया हमेशा एक उच्चीकृत प्रक्रिया से होती है। इसका मतलब है कि आपके पास हमेशा पाइपलाइन में वांछित वस्तुएं होंगी और वे सीमाएं लागू होंगी। कई मामलों में, यह एक समस्या नहीं होगी, लेकिन अगर कोई cmdlet एक लाइव .NET ऑब्जेक्ट की अपेक्षा करता है, तो यह काम नहीं करेगा।

SSH के साथ JEA का समर्थन करने के लिए, हमें अंततः एक सामान्यीकृत डेमॉन / सेवा की आवश्यकता होगी जो कि WinRM की आवश्यकता को उस सेवा मार्ग के रूप में बदल दे। उस समय, हम पाइप लाइन के एक हिस्से को ऊंचा करने के लिए इसका उपयोग करने का मूल्यांकन करेंगे।

FYI करें: https://github.com/gerardog/gsudo

GitHub

gerardog / gsudo

विंडोज के लिए एक सूडो - एक नई कंसोल होस्ट विंडो - gerardog / gsudo को फैलाए बिना उन्नत किया जाता है

FYI करें: https://github.com/gerardog/gsudo

GitHub gerardog / gsudo विंडोज के लिए एक सूडो - एक नई कंसोल होस्ट विंडो को फैले बिना एलिवेटेड रन - gerardog / gsudo

और भी बेहतर
http://blog.lukesampson.com/sudo-for-windows

GitHub

gerardog / gsudo

विंडोज के लिए एक सूडो - एक नई कंसोल होस्ट विंडो - gerardog / gsudo को फैलाए बिना उन्नत किया जाता है

ल्यूक सैम्पसन - विंडोज के लिए सूडो

विंडोज के लिए सूडो

और भी बेहतर

नहीं।

Gsudo हर बार पासवर्ड के लिए संकेत नहीं देता है और इसे स्थापित करने और उपयोग करने के लिए तेजी से सूचना देता है।

यह मुझे दिखता है कि इस मुद्दे को स्वीकार किया जाना चाहिए (जिसका अर्थ है कि कुछ और समय और संगठन को दिया जाना चाहिए) इस टिकट से न केवल ब्याज से देखते हुए। इसका अधिकारिक रूप से इसे आधिकारिक कार्य के रूप में मान्यता नहीं देना सही है क्योंकि वर्तमान में कथित तकनीकी कठिनाइयों को सक्रिय भागीदारी के बिना हल नहीं किया जा रहा है।

मैं अब कुछ महीनों के लिए gsudo का उपयोग कर रहा हूं और मैं हर समय डरावने विंडोज UAC पर वापस जाने की कल्पना नहीं कर सकता।

@majkinetor ने इस मुद्दे पर https://github.com/PowerShell/PowerShell/issues/11343 पर चर्चा की ताकि डिजाइन पर आगे चर्चा हो सके