Может ли WinRS получить доступ к UNC-путям?

Question

Я использую WinRS для запуска исполняемого файла на удаленной машине. Этот исполняемый файл, в свою очередь, должен иметь доступ к общему сетевому ресурсу UNC. Я нахожусь в сети Windows с AD и запускаю все как учетную запись администратора домена (не локальную учетную запись), которая является администратором компьютера рассматриваемых серверов и имеет полный контроль (папка и общий ресурс) сетевого ресурса. Но когда я использую WinRS для запуска удаленного процесса, этот удаленный процесс, похоже, не имеет доступа к сети. Простейший пример, который я мог бы описать, это:

winrs -r:RedServer dir \\BlueServer\SomeSharedFolder

который дает ошибку

В доступе отказано.

Обратите внимание, что сам WinRS работает на RedServer, потому что он работает нормально:

winrs -r:RedServer dir C:

Итак, это похоже на проблему с разрешениями, верно? Но чтобы доказать, что эта учетная запись имеет полный контроль над \\BlueServer\SomeSharedFolder поделиться, я вошел в RedServer с той же учетной записью и запустил это в командной строке там:

dir \\BlueServer\SomeSharedFolder

Он работал нормально, давая мне содержимое этой папки. Только комбинация пути WinRS + UNC вызывает ошибки.

Что-то мне нужно настроить по-другому, или это ограничение / защита Windows? Я испытал подобное ограничение с PysExec.exe Sysinternals; Я мог получить доступ к чему угодно на целевой машине, но ничего к сети. Кстати, я нашел несколько связанный с этим вопрос SO: " Ошибка при создании подключенного диска с помощью winrs", но ответов там нет.

Answer 1

То, что вы описываете, представляет собой сценарий двойного прыжка, который требует дополнительной настройки на клиенте и сервере для поддержки. Сценарий двойного прыжка - это удаленный вход на сервер Windows, а затем доступ к удаленному сетевому ресурсу:

client -> server -> file share

Вы можете сделать это через делегирование CredSSP или Kerberos.

Аутентификация CredSSP предназначена для сред, в которых нельзя использовать делегирование Kerberos. Была добавлена ​​поддержка CredSSP, чтобы пользователь мог подключиться к удаленному серверу и получить доступ к компьютеру второго перехода, например, к общей папке.

Хотя я не пробовал эти инструкции, они кажутся разумным местом для начала. Кроме того, эта запись в блоге Трэвиса Гана, кажется, полезна.