Question [WMIC :RDP-TCP et refuser l'accès RDP à un groupe]

Ola,

Je souhaite refuser l'accès Terminal Server pour un groupe dédié et bien sûr le configurer par Script car de nombreux serveurs.

Par défaut le groupe à un accès en contrôle total

J'utilise la classe Win32_TSAccount et la commande suivante :

gwmi Win32_TSAccount -namespace root\\cimv2\\terminalservices -filter \"SID='S-1-5-21-3514353746-1242993939-378838875-1130'\"

(SID est le SID de mon groupe)

qui me retourne les valeurs suivantes pour mon groupe :

Permissionsallowed : 983999
Permissionsdenied : 0

Si je modifie à la mano la sécurité sur RDP-TCP, les données s'inversent

Permissionsallowed : 0
Permissionsdenied : 983999

Donc reste à scripter cette partie manuelle ..et là c'est le drame.

1- je variabilise la précédente commande

$Nordp = gwmi Win32_TSAccount -namespace root\\cimv2\\terminalservices -filter \"SID='S-1-5-21-3514353746-1242993939-378838875-1130'\"

2- Je tente de changer les permissions ... mais je ne comprends pas à quoi correspondent les valeurs X et Y ... j'ai tourné dans tous les sens sans résultats.

$nordp.ModifyPermissions(X,Y)

Help <br><br>Message édité par: Olive44, à: 3/04/13 16:28

Ola,

j'ai trouvé.

- le X correspond aux autorisations spéciales (1 à 9) et pour

- le Y a 0= allowed et 1=Deny

Soit

[code:1]

# ajout du groupe no RDP sur la sécurité du protocole RDP-TCP (aucun droit positionné)

(en batch ...je l'ai pas encore transcrit en PS :«»unsure: )

wmic /namespace:\\root\CIMV2\TerminalServices PATH Win32_TSPermissionsSetting WHERE (TerminalName=\&quot;RDP-Tcp\&quot;«») CALL AddAccount \&quot;domaine\nordp\&quot;,3
[/code:1]

[code:1]
$nordp = gwmi Win32_TSAccount -namespace root\cimv2\terminalservices -filter \&quot;SID='S-1-5-21-3514353746-1242993939-378838875-1130'\&quot;

$nordp.ModifyPermissions(9,0)
$nordp.ModifyPermissions(8,0)
$nordp.ModifyPermissions(7,0)
$nordp.ModifyPermissions(5,0)
$nordp.ModifyPermissions(4,0)
$nordp.ModifyPermissions(3,0)
$nordp.ModifyPermissions(2,0)
$nordp.ModifyPermissions(1,0)

[/code:1]

Pas très propre mais ça bloque les connexions RDP pour mon groupe via les autorisations spéciales. Je regarde si une classe existe pour modifier les autorisations standards.

Sinon tu peux passer par les LSA (gpo de sécurité locale) ça marche assez bien !

Une explication ici