চলুন লোকাল অ্যাডমিনিস্ট্রেটর অধিকার ছাড়া ডোমেন ব্যবহারকারীদের রিমোট সার্ভারে চলমান সার্ভিসের তালিকা এনিউমারেট করার রিমোট এক্সেস পারমিশন দেওয়ার Особенতা গুলো আলোচনা করি। মূলত কাজটি হচ্ছে Service Control Manager (SCManager)র সাথে রিমোট কানেকশন প্রদান করা।
সমস্যাটি কেমন দেখায় তা দেখা যাক। ধরা যাক, আমরা চাই একটি রিমোট ব্যবহারকারী বা মনিটরিং সিস্টেম কোনো সার্ভারের সার্ভিস স্ট্যাটাস কোয়েরি করতে পারে। očвидных কারণból এই রিমোট ব্যবহারকারীর কোনো অ্যাডমিনিস্ট্রেটিভ অধিকার নেই এবং সার্ভারে লোকাল এক্সেসের প্রিভিলেজও নেই।
services.msc কনসোল ব্যবহার করে রিমোট কম্পিউটারের সাথে কানেক্ট হয়ে সার্ভিসের তালিকা পেতে চেষ্টা করলে ব্যবহারকারী নিচের এরর দেখে:
Windows was unable to open service control manager database on computer_name
Error 5: Access is denied.
sc.exe ব্যবহার করে রিমোট সার্ভারের সার্ভিস তালিকা পেতে চেষ্টা করলে এরর হবে:
C:\Windows\system32>sc \\lonts-01 query
[SC] OpenSCManager FAILED 5:
Access is denied.
সার্ভিসের তালিকার এক্সেস Service Control Manager ডেটাবেসের সিকিউরিটি ডেসক্রিপ্টর দ্বারা কন্ট্রোল হয়, যার জন্য Windows 2003 SP1-ই থেকে "Authenticated Users"-এর রিমোট এক্সেস সীমাবদ্ধ করা হয়েছিল (যা যৌক্তিক)। শুধু Local Administrators গ্রুপের সদস্যদের এই সার্ভিসটি রিমোটলি এক্সেস করার অধিকার থাকে।
চলুন দেখি কীভাবে Service Control Manager-এ রিমোট এক্সেস দেওয়া যায় যাতে সার্ভারের সার্ভিসের তালিকা পাওয়া যায় এবং সাধারণ ব্যবহারকারীরা (অ্যাডমিনিস্ট্রেটিভ অধিকার ছাড়া) উইন্ডোজ সার্ভার ২০১২ R2-এ সার্ভিস들의 স্ট্যাটাস পাতে পারে।
বর্তমান Service Control Manager (SCM) পারমিশন sc.exe ব্যবহার করে এডমিনিস্ট্রেটর অধিকার সহ কমান্ড প্রম্পটে নিচের কমান্ড চালিয়ে পাওয়া যায়:
sc sdshow scmanager
কমান্ডটি নিচের মতো SDDL স্ট্রিং রিটার্ন করে:
D:(A;;CC;;;AU)(A;;CCLCRPRC;;;IU)(A;;CCLCRPRC;;;SU)(A;;CCLCRPWPRC;;;SY)(A;;KA;;;BA)(A;;CC;;;AC)S:(AU;FA;KA;;;WD)(AU;OIIOFA;GA;;;WD)
এখানে দেখতে পাচ্ছেন যে ডিফল্টভাবে Authenticated Users (AU) গ্রুপকে শুধু SCM-এ কানেক্ট করার অনুমতি আছে, কিন্তু সার্ভিস পোল (LC) করার অনুমতি নেই। এই স্ট্রিং কপি করে যেকোনো টেক্সট এডিটরে রাখুন।
পরবর্তী ধাপ হল যে ব্যবহারকারী বা গ্রুপকে SCM-এ রিমোট এক্সেসের অধিকার দিতে চাই তাদের SID পাওয়া (ব্যবহারকারীর নাম দিয়ে SID পাওয়ার পদ্ধতি)। উদাহরণস্বরূপ, AD গ্রুপ lon-hd-এর SID বের করি:
Get-ADgroup -Identity lon-hd | select SID
SID
---
S-1-5-21-2470146451-39123456388-2999995117-23338978
SDDL স্ট্রিং থেকে ব্লক (A;;CCLCRPRC;;;IU) – (IU মানে Interactive Users) কপি করে টেক্সট এডিটরে রেখে, কপি করা ব্লকে IU-এর জায়গায় ব্যবহারকারী/গ্রুপের SID বসিয়ে, আপনি যে স্ট্রিং পাবেন সেটি S:-এর আগে পেস্ট করুন।
আমাদের কেসে আমরা পেলাম নিচের স্ট্রিংটি:
D:(A;;CC;;;AU)(A;;CCLCRPRC;;;IU)(A;;CCLCRPRC;;;SU)(A;;CCLCRPWPRC;;;SY)(A;;KA;;;BA)(A;;CC;;;AC)(A;;CCLCRPRC;;;S-1-5-21-2470146451-39123456388-2999995117-23338978)S:(AU;FA;KA;;;WD)(AU;OIIOFA;GA;;;WD)
এখন Service Control Manager সিকিউরিটি ডেসক্রিপ্টরের প্যারামিটার পরিবর্তন করুন:
sc sdset scmanager “D:(A;;CC;;;AU)(A;;CCLCRPRC;;;IU)(A;;CCLCRPRC;;;SU)(A;;CCLCRPWPRC;;;SY)(A;;KA;;;BA)(A;;CC;;;AC)(A;;CCLCRPRC;;;S-1-5-21-2470146451-39123456388-2999995117-23338978)S:(AU;FA;KA;;;WD)(AU;OIIOFA;GA;;;WD)“
[SC] SetServiceObjectSecurity SUCCESS মেসেজটি বোঝায় যে নতুন সিকিউরিটি প্যারামিটার সফলভাবে প্রয়োগ হয়েছে, এবং ব্যবহারকারীকে লোকালি অথেনটিকেটেড ব্যবহারকারীদের সমান প্রিভিলেজ मिलল: SC_MANAGER_CONNECT, SC_MANAGER_ENUMERATE_SERVICE, SC_MANAGER_QUERY_LOCK_STATUS এবং STANDARD_RIGHTS_READ।
নিশ্চিত করুন যে রিমোট ব্যবহারকারী services.msc কনসোল বা sc \\srv-name1 query ব্যবহার করে সার্ভিসের তালিকা এবং স্ট্যাটাস পায়।
স্বাভাবিকভাবেই, আপনার সার্ভিস ম্যানেজ করার কোনো প্রিভিলেজ নেই, কারণ প্রতিটি সার্ভিসের এক্সেস индивидуয়াল ACL দ্বারা কন্ট্রোল হয়। ব্যবহারকারীকে সার্ভিস スタート/স্টপ/রিস্টার্ট করার অধিকার দিতে হলে How to Grant Permissions to Manage (Start, Stop or Restart) Windows Services to a User আর্টিকেলটি অনুসরণ করুন।
টিপ। আপনি যদি সাধারণ থেকে ভিন্ন SCManager অধিকার অ্যাসাইন করেন, সেগুলো রেজিস্ট্রির HKLM\SYSTEM\CurrentControlSet\Control\ServiceGroupOrder\Security ব্রাঞ্চে সংরক্ষিত হয়। আর যদি SDDL স্ট্রিং প্রস্তুত করার সময় ভুল করেন, তবে এই ব্রাঞ্চ ডিলিট করে কম্পিউটার রিস্টার্ট করলে বর্তমান পারমিশন ডিফল্টে রিসেট হয়ে যাবে।
