在 Microsoft Windows Server 上运行进程的最小权限集

Question

我想在 Microsoft Windows Server 上的不同用户下运行一个进程（而不是服务），并且我需要这样做所需的最少权限。

需要最少的权限集，因为此用户不应仅能够登录和访问所需的资源。

这样的事情应该工作：

Start-Process -Credential $cred -FilePath calc.exe

我研究了用户权利政策，但没有取得显着的成功。

Answer 1

参考评论，我认为用户 B 至少需要“作为批处理作业登录”权限。如果在用户 B 的凭据下运行的进程旨在完成某些任务，则可能需要向用户 B 授予其他权利或特权才能使这些任务正常运行。

本文列出了权利和特权，并详细介绍了某些任务可能需要权利或特权的情况： https://technet.microsoft.com/en-us/library/cc755971 (v=ws.10).aspx

看来您可能正在尝试做的是允许进程在计算机上以用户 B 的身份运行，即使用户 B 由于用户 B 具有“拒绝本地登录”权限或不是组成员而无法交互登录具有“允许本地登录”权限。

“作为批处理作业登录”将允许用户 B 用于任务计划程序启动的进程。尝试使用仅具有批处理作业权限但不具有交互权限的用户在交互式会话（即以用户 A 身份登录）中启动进程可能会失败。在这种情况下，授予用户 B 的“允许本地登录”应允许用户 B 使用该进程。唯一的问题是用户 B 可以交互式登录，这可能是不希望的。

解决方法可能是“简单地安排”该作业。用户 A 设置一个任务计划作业，然后将其设置为在一分钟（或其他时间）内运行，而不是用户 A 实际运行该命令。