RunAs Dialog vor dem Programmstart???

[Piro]

So ich habe jetzt ein einfaches Programm geschrieben wollte es mal probieren wie ihr es gesagt habt. Irgendwie verstehe ich das immer noch wie ich den Syntax setzen muss bzw. soll.

Kann mir mal einer ein komplettes beispiel geben?

[CodeX]

Zitat:

Zitat von kalmi01

Oder Dein Prog macht selbst eine Abfrage á la

Benutzername:
Passwort:

und versucht sich dann die Berechtigungen zu holen:

Delphi-Quellcode:

var
  AdminToken : Cardinal;

if LogonUser(PAnsiChar(USERNAME),        // UserName
             PAnsiChar(DOMAIN),          // Domäne oder lokaler Rechner
             PAnsiChar(PASSWORD),        // Password
             LOGON32_LOGON_BATCH or LOGON32_LOGON_NETWORK or LOGON32_LOGON_INTERACTIVE,
             LOGON32_PROVIDER_DEFAULT,
             AdminToken)
then begin
       if ImpersonateLoggedOnUser(AdminToken)
       then begin
              // hier kommt Dein Prog.-Code hin

              RevertToSelf;              // zurückschalten zum angemeldeten Benutzer
            end;
     end;

*weißt* du, ob das sicher (immer) funktioniert, oder ist das nur ein theoretischer ansatz?
ich kenne das wirklich nur so, dass man ein programm mit den richtigen rechten starten kann, nicht aber dessen rechte zur laufzeit ändern kann.

[kalmi01]

Moin, moin, CodeX,

Ich habe mehrere Programme bei über 300 Usern laufen, die sich auf diese Weise die notwendigen Berechtigungen holen.
Bis dato gab es nur seeeehr selten Probs und wenn, dann hatte der DC ein Prob, soll heissen: auch RunAs lief dann nicht zuverlässig.
Policies können einem IMMER die Suppe versalzen.

Sicher funktioniert es ab XP/Server2003;
bei NT-Maschinen gibt es manchmal Probs (Service-Pack),
bei 2000 kann ich keine repräsentative Aussage machen, da nur eine handvoll PC damit liefen (aber ebenfalls OK).

Vorteil ist, dass sich das Prog mit

Delphi-Quellcode:

ImpersonateLoggedOnUser(AdminToken)

nur genau dann User-Rechte holt, wenn diese benötigt werden.
Ausserdem kann man in einem Prog mehrfach die User-Rechte wechseln !
Was m it RunAs nicht geht.

[CodeX]

sehr gut zu wissen. danke.

aber dann nochmal zum verständnig:
die benutzerrechte werden beim aufruf von LogonUser auf dem gesamten rechner geändern und nicht nur das programm betreffend, oder?
mit RevertToSelf kehrt man ja dann erst zu den normalen rechten zurück.

das würde ja dann bedeuten, dass wenn man beim starten des programmes LogonUser aufruft und beim beenden erst RevertToSelf, dass dann während der gesamten programmlaufdauer, der benutzer als admin angemeldet ist. das betrifft ja dann auch andere programme. somit müsste man statt dessen die programmfunktionen mit diesen funktionen umschließen, die adminrechte voraussetzen. das würde aber unter umständen doch dann zu ständigen benutzerwechseln führen. dann kann doch nicht gut sein. :?

oder irre ich mich jetzt gewaltig und die benutzerwechel betreffen nur das eigene programm? (was ich mir technisch nicht vorstellen könnte)

[kalmi01]

Zitat:

Zitat von CodeX

......
aber dann nochmal zum verständnig:
die benutzerrechte werden beim aufruf von LogonUser auf dem gesamten rechner geändern und nicht nur das programm betreffend, oder?

Nein !
NUR das Programm selbst erhält die neuen Benutzerrechte.

Zitat:

.....
oder irre ich mich jetzt gewaltig und die benutzerwechel betreffen nur das eigene programm? (was ich mir technisch nicht vorstellen könnte)

Betrifft nur das eine Prog (wie bei RunAs) !
Kannst aber halt als verschiedene Benutzer innerhalb einer Session agieren.

[CodeX]

ich hab mal ein bisschen geforscht.
jetzt lass mich raten: du arbeitest dabei mit services, richtig?

denn ich habe folgendes gefunden:

Zitat:

Zitat von PSDK

The process calling LogonUser requires the SE_TCB_NAME privilege. If the calling process does not have this privilege, LogonUser fails and GetLastError returns ERROR_PRIVILEGE_NOT_HELD.

und das SE_TCB_NAME kann man sich scheinbar nur als service holen.

[MathiasSimmack]

Sagt mal, Jungs und Mädchen, wäre das nicht ein gutes Thema für eine kleine Delphi PRAXiS-DLL? Diese DLL könnte ihrerseits die hier gezeigten Funktionen kapseln, so dass man sie mit wenig Aufwand in eigene Programme einbinden kann.

Die Hauptfunktionen der DLL könnten dabei statisch in die eigenen Programme gelinkt werden, so dass die Anwendung ohne die DLL gar nicht startet. Im Gegensatz dazu sollten die benutzten API-Funktionen in der DLL natürlich dynamisch geladen werden, so dass bspw. ein Aufruf unter 9x/ME immer mit true (oder was weiß ich) beantwortet wird.

Dazu vielleicht ein paar Typen und/oder Klassen bzw. Auflistungen, damit man nicht mit dem API-Zeug hantieren muss. Klappt das Erlangen der gewünschten Rechte nicht, könnte man sicher das API für sich arbeiten und die entsprechende Fehlermeldung direkt aus dem System ausgeben lassen (Stichwort: FormatMessage).

Und wer schlicht und einfach nur den "Ausführen als"-Dialog braucht, für den könnte man ja eine Dialogressource (nonVCL) integrieren, die dem Original nachempfunden ist, und mit der man das Konto auswählen und das Passwort eingeben kann. Selbstverständlich sollte sich der Anwender nicht mit der Nachrichtenschleife unter nonVCL herumschlagen müssen. Für ihn sollte ein simpler Aufruf à la

Delphi-Quellcode:

if RunAsDialog(...) then
begin
end;

genügen.


@Codex: Hast du da nicht ein Zitat vergessen:

Zitat:

The SE_TCB_NAME privilege is not required for this function unless you are logging onto a Passport account.

[TeronG]

Zitat:

Zitat von MathiasSimmack

so dass man sie mit wenig Aufwand in eigene Programme einbinden kann.

Delphi-Quellcode:

var
  AdminToken : Cardinal;

if LogonUser(PAnsiChar(USERNAME),        // UserName
             PAnsiChar(DOMAIN),          // Domäne oder lokaler Rechner
             PAnsiChar(PASSWORD),        // Password
             LOGON32_LOGON_BATCH or LOGON32_LOGON_NETWORK or LOGON32_LOGON_INTERACTIVE,
             LOGON32_PROVIDER_DEFAULT,
             AdminToken)
then begin
       if ImpersonateLoggedOnUser(AdminToken)
       then begin
              // hier kommt Dein Prog.-Code hin

              RevertToSelf;              // zurückschalten zum angemeldeten Benutzer
            end;
     end;

also ich würd ja sagen, daß der Code eh schon recht simpel/kurz/unaufwändig ist. Quasi nur eine if abfrage (mit einer if abfrage) und schon kannste deinen code reinschmeißen.
Hätt ich dden Code nur eher gekannt ..

[Piro]

Das Thema ist ja richtig interessant geworden. Trotzdem bleibt meine Frage, da ich nicht wirklich fit bin in diesem Thema, wie ich diesen Code in meine vorhandene Applikation einbaue.

Ansonsten mache ich es mit CreateProcessAsUser halt für meine Unterprogramme in meinem Programm. Schöner wäre ja nur wenn das ganze Tool mit Admimrechten laufen würde.

Danke.

[TeronG]

Zitat:

Zitat von daywalker299

Schöner wäre ja nur wenn das ganze Tool mit Admimrechten laufen würde.

Und wenn du einfach den code in dein onCreate packst?
evtl./sicherheitshalber im OnClose noch das RevertToSelf rein ... :gruebel: