Почему у учетных записей пользователей “нет разрешения на выполнение этой задачи”?

Question 1

Я создаю Запланированную задачу, настроенную через PowerShell с помощью XML:

$LogonTask_xml = @"
<?xml version="1.0" encoding="UTF-16"?>
<Task version="1.3" xmlns="http://schemas.microsoft.com/windows/2004/02/mit/task">
  <RegistrationInfo>
    <Date>$(get-date -Format yyyy-MM-ddTHH:mm:ss.00000)</Date>
    <Author>Interactive</Author>
    <Description>$LogonDescription</Description>
  </RegistrationInfo>
  <Triggers>
    <LogonTrigger>
      <Enabled>true</Enabled>
      <Delay>PT1H</Delay>
      <ExecutionTimeLimit>PT4H</ExecutionTimeLimit>
    </LogonTrigger>
  </Triggers>
  <Principals>
    <Principal id="Author">
      <GroupId>S-1-5-32-545</GroupId>
      <RunLevel>LeastPrivilege</RunLevel>
    </Principal>
  </Principals>
  <Settings>
    <MultipleInstancesPolicy>StopExisting</MultipleInstancesPolicy>
    <DisallowStartIfOnBatteries>false</DisallowStartIfOnBatteries>
    <StopIfGoingOnBatteries>true</StopIfGoingOnBatteries>
    <AllowHardTerminate>true</AllowHardTerminate>
    <StartWhenAvailable>true</StartWhenAvailable>
    <RunOnlyIfNetworkAvailable>false</RunOnlyIfNetworkAvailable>
    <IdleSettings>
      <StopOnIdleEnd>true</StopOnIdleEnd>
      <RestartOnIdle>false</RestartOnIdle>
    </IdleSettings>
    <AllowStartOnDemand>true</AllowStartOnDemand>
    <Enabled>true</Enabled>
    <Hidden>false</Hidden>
    <RunOnlyIfIdle>false</RunOnlyIfIdle>
    <DisallowStartOnRemoteAppSession>false</DisallowStartOnRemoteAppSession>
    <UseUnifiedSchedulingEngine>false</UseUnifiedSchedulingEngine>
    <WakeToRun>false</WakeToRun>
    <ExecutionTimeLimit>PT4H</ExecutionTimeLimit>
    <Priority>7</Priority>
  </Settings>
  <Actions Context="Author">
    <Exec>
      <Command>$VBScriptPath</Command>
    </Exec>
  </Actions>
</Task>
"@

Я хочу, чтобы все пользователи запускали задачу в своем собственном контексте — но не могли ее изменять — и когда они тестируют ее, продолжают сталкиваться с сообщением “Учетная запись пользователя не имеет разрешений для запуска этой задачи”.

Как вы можете видеть, задача запускается от имени группы Users, и разрешено запускать по требованию. Задача работает нормально, если я запускаю ее как администратор. Группа “users” может видеть эту конкретную задачу и имеет права на чтение и выполнение файла задачи (в c:\Windows\System32\Tasks), а пользователи могут создавать другие задачи и запускать их. Я бы поклялся, что раньше это работало.

Когда я создал другую задачу и манипулировал ACL, чтобы они полностью соответствовали “проблемной” задаче, вторая задача все еще выполняется по запросу пользователя без проблем.

Должно быть что-то еще, что может помешать непривилегированным пользователям выполнять некоторые задачи, но я не могу понять, что именно. Помощь!

Question 2

На случай, если кто-то наткнется на это в будущем, вот ответ…

В какой-то момент Microsoft перестала использовать файлы задач в C:\Windows\System32\Tasks для управления безопасностью запланированных задач. Утверждается, что это произошло с Win10, но это не могло быть в ранних версиях Win10, потому что моя проблема не возникала до более поздних выпусков.

Тем не менее, возможность выполнять запланированные задачи теперь контролируется через настройки реестра в разделе HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree, но эти ключи защищены от “обычных” администраторов. Я нашел код для добавления разрешений здесь, и привел его в порядок в что-то, что я буду использовать, чтобы позволить любой задаче выполняться любым пользователем.

Надеюсь, это кому-то поможет.

Почему у учетных записей пользователей “нет разрешения на выполнение этой задачи”?

Вопрос или проблема

Ответ или решение

Теория

Пример

Применение

Заключение