{"id":1205,"date":"2011-04-03T20:50:35","date_gmt":"2011-04-03T18:50:35","guid":{"rendered":"http:\/\/michauko.org\/blog\/?p=1205"},"modified":"2015-04-16T10:32:45","modified_gmt":"2015-04-16T09:32:45","slug":"windows-7-donner-quelques-permissions-sur-les-services-a-un-utilisateur-non-admin","status":"publish","type":"post","link":"https:\/\/michauko.org\/blog\/windows-7-donner-quelques-permissions-sur-les-services-a-un-utilisateur-non-admin-1205\/","title":{"rendered":"windows 7 : donner quelques permissions sur les services \u00e0 un utilisateur non-admin"},"content":{"rendered":"

Bon, ce fut long et p\u00e9nible pour r\u00e9ussir \u00e0 faire un truc simple avec ce joli Windows Seven : \u00ab\u00a0permettre \u00e0 un utilisateur sans droit de relancer un service\u00a0\u00bb, en l’occurrence \u00ab\u00a0PS3 Media Server\u00a0\u00bb que je tente d’h\u00e9berger sur un Windows plut\u00f4t qu’un Linux pour de sombres raisons. Donc je me fais un aide-m\u00e9moire qui servira \u00e0 d’autres et \u00e0 d’autres cas similaires j’en suis s\u00fbr.
\nBien s\u00fbr, hors de question de faire sauter l’UAC (User Access Control = popup casse-pied pour dire \u00ab\u00a0oui je veux \u00eatre admin\u00a0\u00bb) et encore moins donner les droits admin \u00e0 un compte qui ne l’est pas, ni le pass de l’admin. Juste pour rallumer un service, ce serait trop.<\/p>\n

Quelques pistes sans succ\u00e8s<\/h1>\n

Pour ce qui est de faire un .bat contenant des \u00ab\u00a0service stop\/start MonService\u00a0\u00bb, il faut \u00eatre admin.
\nPour l’option qui consiste \u00e0 cocher la case \u00ab\u00a0toujours lancer en admin\u00a0\u00bb ? non, pas sur les .bat…
\nAlors je le le compile en .exe avec n’importe quel \u00ab\u00a0bat2exe\u00a0\u00bb ? bah non, le .exe n’est pas sign\u00e9 par une autorit\u00e9 de certif. reconnue => blablablabla UAC encore
\nOk, je g\u00e9n\u00e8re mes propres \u00ab\u00a0root certif\u00a0\u00bb, signe, compile, danse nu un soir de pleine lune et tout \u00e7a ??? non l\u00e0 c’est trop (pas la danse, la g\u00e9n\u00e9ration\/ajout de mes propres clefs de certifs). Je d\u00e9gomme pas les mouches au bazooka.
\nBon, retour \u00e0 l’option .bat. Les gens parlent de cr\u00e9er une t\u00e2che planifi\u00e9e contenant l’appel \u00e0 ce .bat, avec l’option admin puis faire un raccourci vers la t\u00e2che. Ca marche, pas de confirmation via l’UAC. Sauf que les t\u00e2ches sont li\u00e9es \u00e0 l’utilisateur. Donc mon utilisateur sans droit ne la voit pas… La planifier en son nom ou l’inverse (dans son compte, planifier avec le compte et mot de passe de l’admin), pas mieux.
\nJ’ai aussi tent\u00e9 l’utilisation d’un outil tiers, appel\u00e9 \u00ab\u00a0elevate\u00a0\u00bb, pour lancer une commande avec des droits sup\u00e9rieurs. Oui, mais non, pour le non-admin, \u00e7a change rien, il faut obtenir ce droit, donc se signer.
\nBref, c’est lourd.<\/p>\n

The solution : SubInACL<\/h1>\n

Chez Microsoft, il y a un bout de Resource Kit, la commande SubInACL.exe<\/a>. Elle permet de manipuler les permissions de n’importe quel objet : fichiers, imprimantes, services etc. Youpiiii.
\nLa syntaxe est bien moisie, mais \u00e7a marche.
\nIl faut :<\/p>\n