Запланированная задача Windows 10 не использует учетные данные домена для доступа к сетевым ресурсам.

У меня есть простая задача, которая для целей тестирования состоит из пакетного файла с двумя строками:

whoami >result1.txt
copy \\server\share\test1.txt C:\Users\xxx\Documents > output.txt 2> error.txt

Когда я запускаю это из интерактивного входа, всё работает нормально, потому что у меня есть учетные данные домена, которые дают мне доступ к общей папке.

Когда я запускаю это из Планировщика заданий, оно не выполняется. Первая команда завершается успешно (и, кстати, демонстрирует, что запланированная задача выполняется с моей учетной записью), но вторая команда завершается неудачей, предположительно потому, что она не использует правильные учетные данные для подключения.

После выполнения задачи error.txt пуст, а output.txt содержит "Доступ запрещён." В истории задач нет полезной информации – только Действие завершено и Результат последнего запуска (0x1), поскольку копирование не удалось.

Общие параметры в свойствах запланированной задачи настроены на использование моей учетной записи домена и на “Запускать, независимо от того, вошёл в систему пользователь или нет”. Я пробовал как с установленным, так и без установленного параметра “Запускать с наивысшими привилегиями” – это, похоже, ничего не меняет. Я также пробовал изменить опцию “Настроить для” – опять же без эффекта. Параметр “Не хранить пароль” не установлен – но я пробовал установить его просто для полноты картины, и это не изменяет поведение.

На стороне сервера я проверил журнал событий безопасности. Когда команда завершается с ошибкой, я вижу событие входа без аутентификации с успешной аудиторией, запись о неудаче с аудиторией, которая выглядит так, будто вход без аутентификации пытается использовать SeBackupPrivilege:

Вызвана привилегированная служба.

Субъект:
  Идентификатор безопасности:      АНДОНИМНЫЙ ВХОД
  Имя учетной записи:     АНДОНИМНЫЙ ВХОД
  Домен учетной записи:       NT AUTHORITY
  Идентификатор входа:     0x180e12c36

Служба:
  Сервер:   Безопасность
  Имя службы: -

Процесс:
  Идентификатор процесса:   0x4
  Имя процесса: 

Информация о запросе службы:
  Привилегии:       SeBackupPrivilege

а затем событие успеха анонимного входа, сессия уничтожена.

Клиент – Windows 10, сервер – Windows 2008 R2. Учетные данные – учетная запись пользователя домена в Active Directory.

Если я использую другой сервер, сервер Windows 2016, работающий с IIS и WebDAV, то задача выполняется нормально через Планировщик заданий. Таким образом, через WebDAV используются мои учетные данные, в то время как через CIFS – нет.

Кто-нибудь может пояснить, почему копирование не удается и есть ли какое-либо обходное решение? Какие следующие шаги для тестирования? Я заставил это работать, жестко закодировав учетные данные в пакетном файле, но, очевидно, это не совсем приемлемо.

Было предложено, что эта политика может быть актуальна, но она отключена, поэтому я не думаю, что это так:

Сетевой доступ: Не разрешать хранение паролей и учетных данных для сетевой аутентификации

в

Конфигурации компьютера\Параметры Windows\Безопасность\Локальные политики\Параметры безопасности

Я видел больше анекдотических доказательств того, что разрешения ведут себя иначе в интерактивном режиме по сравнению с запланированной задачей. И сообщение в журнале событий, похоже, указывает на то, что необходимо иметь seBackupPrivilege (что, вероятно, действительно означает, что он хочет изменить владельца объектов).

Включение пользователя, от имени которого выполняется задача, в встроенную локальную группу, такую как Операторы резервного копирования на целевом сервере, может решить проблему (у меня нет тестовой площадки для проверки этого, но если вы не уверены, начните с локального администратора на обоих серверах, а затем используйте метод исключения).

В теории вы также можете использовать GPO домена, чтобы установить аналогичные разрешения для конкретного пользователя или, что еще лучше, для его группы.

ИЗМЕНЕНО: Вы пробовали исключить или изменить вывод ошибок? Событие безопасности может быть ложным следом (например, NTLM аутентификация всегда будет иметь неудачную запись анонимного входа).

Если я запущу ваш скрипт, он завершится ошибкой в запланированной задаче, потому что перед > output.txt и 2> error.txt нет пути – но это работает:

copy \\two.moh.local\test\test1.txt C:\temp\ > c:\temp\output.txt 2> c:\temp\error.txt

Ваш скрипт будет работать, если вы запустите его из командной строки или двойным щелчком, потому что он будет использовать родительский каталог, это работает иначе, когда не выполняется интерактивно (я предполагаю, что он пытался записать куда-то, где у администратора домена есть разрешения, а у вашего пользователя – нет).

вы можете попробовать отключить защиту учетных данных.

Прежде всего, “Ошибка запланированного задания 0x1” трудно отлаживать, и вам нужно попробовать несколько решений, чтобы найти причину в вашей среде.

После того как я прочитал вопрос и ответы, я предлагаю:

1. Попробуйте явно указать все пути, используемые в скриптах или пакетных файлах. Не используйте короткий путь. Измените конечный путь C:\Users\xxx\Documents на что-то вроде D:\test.
2. Попробуйте включить полный путь к файлам ошибок и вывода.

Также я предлагаю проверить параметры во вкладке “Действие”. Попробуйте использовать кавычки для путей с пробелами.

Вы также можете найти полезную информацию о возвращаемой ошибке 0x1 в этом источнике