windows - 使用 Puppet 更改 TrustedInstaller 拥有的注册表项的权限

Question

我正在尝试将所有 Windows 10 连接设置为 metered 以阻止自动更新。这需要在 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\DefaultMediaCost 下编辑值，但 Puppet Agent(作为 LocalSystem 运行)无法修改这些值并引发错误喜欢:

Error:/Stage[main]/Main/Node[default]/Registry_value[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\DefaultMediaCost\Default]: Could not evaluate: Unexpected exception from Win32 API. detail: (Access denied.). ERROR CODE: 5. Puppet Error ID: F46C6AE2-C711-48F9-86D6-5D50E1988E48

因为 key 归 TrustedInstaller 所有。

是否可以自动修改这些值？

更新 site.pp 的问题部分:

node default {
  registry_value { 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\DefaultMediaCost\3G':
    ensure  => present,
    type    => dword,
    data    => "2",
  }
  registry_value { 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\DefaultMediaCost\4G':
    ensure  => present,
    type    => dword,
    data    => "2",
  }
  registry_value { 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\DefaultMediaCost\Default':
    ensure  => present,
    type    => dword,
    data    => "2",
  }
  registry_value { 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\DefaultMediaCost\Ethernet':
    ensure  => present,
    type    => dword,
    data    => "2",
  }
  registry_value { 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\DefaultMediaCost\WiFi':
    ensure  => present,
    type    => dword,
    data    => "2",
  }
}

Answer 1

这似乎是一个权限问题，其中 LocalSystem 只是没有更改这些注册表值的凭据。您可以执行以下操作之一:

• 将 LocalSystem 添加到正确的组(使用组资源)，以便它具有适当的权限，以便您可以调整这些键(快速搜索看起来不像是组帐户，而是特殊帐户)
• 在进行更改之前使用 exec 授予 LocalSystem 对这些 key 的写入权限
• 可能授予转换为 TrustedInstaller 的权限(快速搜索也不会发现这种可能性)

看起来您需要调用 cacl.exe 之类的东西来设置权限，将 TrustedInstaller 覆盖为所有者并授予 LocalSystem 所有权，然后在那里授予特权。在进行更改之前，请先进行研究以了解此设置的含义，以及在完成设置后如何撤消设置(如果您想撤消设置)。

旁注:ACL 模块还不能处理注册表的权限，但将来可以。