Differences

This shows you the differences between two versions of the page.

--- выдача_прав_с_помощью_jea [2023/06/23 13:05] – jp
+++ выдача_прав_с_помощью_jea [2025/02/11 09:16] (current) – jp
@@ Line 5: / Line 5: @@
 В данном примере мы рассмотрим - как делегировать права пользователю на управлениями машинами HYPER-V, не делая его ни локальным администратором, ни администратором HYPER-V. Все действия и редактируемые файлы находятся на одном локальном компьютере. Пользователь, которого ограничиваем - сможет подключаться к локальной сессии и выполнить заданный администратором набор команд, даже если для этих команд требуются привилегии админа.
-:!: Можно ограничивать не только команды, но и их параметры.
+//Можно ограничивать не только команды, но и их **параметры**.//
 Приступим к настройке.
@@ Line 15: / Line 15: @@
 Теперь нужно отредактировать файл сессии //hpv_manage.pssc//.
-В типе сессии выбираем **//RestrictedRemoteServer//**. Эта опция создаст минимальное окружение доступных комманд. Если этого не сделать - комманды PS, без которых трудно работать в окружении - придется вручную перечислять в конфигурационном файле, который мы будем редактировать дальше.
+В типе сессии выбираем: **//RestrictedRemoteServer//**. Эта опция создаст минимальное окружение доступных комманд. Если этого не сделать - комманды PS, без которых трудно работать в окружении, придется вручную перечислять в конфигурационном файле (*.psrc), который мы будем редактировать дальше.
 Также, устанавливаем параметр //**TranscriptDirectory**//. В директории, заданной в параметре - будет храниться информация о конкретных действиях пользователей в рамках их сессий.
-Устанавливаем опцию //**RunAsVirtualAccount**//. В этом случае команды будут выполняться под виртуализированныйм аккаунтом с привилегиями администратора, что нам и требуется.
+Устанавливаем опцию //**RunAsVirtualAccount**//. В этом случае команды будут выполняться под виртуализированным аккаунтом с привилегиями администратора, что нам и требуется.
 В опции //**RoleDefinitions**// мы задаем имя группы (локального компьютера или Active Directory) и название роли JEA, которую мы сконфигурируем далее.
-:!: //Название роли здесь должно точно соответствовать имени файла ролей JEA (не hpv_manage.pssc)//
+:!: //Название роли здесь должно точно соответствовать имени файла ролей JEA (не hpv_manage.pssc, а hyperv-power.psrc)//
 Файл //hpv_manage.pssc// в нашем случае будет выглядеть следующим образом:
@@ Line 73: / Line 73: @@
 <WRAP prewrap>
 <code>
-New-PSRoleCapabilityFile -Path 'C:\Program files\WindowsPowerShell\Modules\JEA\RoleCapabilities\HelpDesk_admins.psrc'
+New-PSRoleCapabilityFile -Path 'C:\Program files\WindowsPowerShell\Modules\JEA\RoleCapabilities\hyperv-power.psrc'
 </code>
 </WRAP>
@@ Line 79: / Line 79: @@
 Отредактируем этот файл, поправив следующие директивы.
-//**VisibleCmdlets**// - задает какие, собственно, командлеты и скакими параметрами можно использовать. В данном примере мы разрешаем командлеты, связанные с управлением HYPER-V.
+//**VisibleCmdlets**// - задает какие, собственно, командлеты и с какими параметрами можно использовать. В данном примере мы разрешаем командлеты, связанные с управлением HYPER-V.
 //**ModulesToImport**// - в данном случае нам требуется подключить в сессию модуль HYPER-V, т.к. без него перечисленные командлеты вообще не будут запущены.
-Пример файла psrc, в котором разрешается управление HYPER-V
+Пример файла //hyperv-power.psrc//, в котором разрешается управление HYPER-V:
 <WRAP prewrap>
 <code>
@@ Line 155: / Line 155: @@
    Restart-Service WinRM
-Убрать регистрацию конфигурации можно следующей командой:
+Убрать созданную регистрацию конфигурации можно следующей командой:
    UnRegister-PSSessionConfiguration –Name hyperv-power
 После перезапуска службы WinRM - пользователь, с ограниченными правами, входящий в группу, которую мы указали в файле //hpv_manage.pssc// - может войти в созданную сессию командой с указанием конфигурации:
@@ Line 187: / Line 187: @@
    Invoke-Command -ComputerName localhost -ConfigurationName hyperv-power -ScriptBlock {get-vm}
+=== Материалы по теме ===
+https://winitpro.ru/index.php/2020/09/29/powershell-just-enough-administration-jea-delegirovaniye-admin-prav-polzovatelyam/ \\
+https://4sysops.com/archives/just-enough-administration-jea-part-2-an-example/ \\
+https://secops.one/2019/11/05/hyper-v-just-enough-administration-jea/
 {{tag>Microsoft PowerShell HYPER-V}}