[RESOLU] tis-audit-local-admins en erreur d'audit

[Benoit]

Bonjour,

wapt entreprise 2.5.4.15342
serveur Debian
machine à paquet : win10

Comme le titre l'indique, j'ai déployé le paquet tis-audit-local-admins.
Il fonctionne très bien, dans le sens où il remonte bien l'information des utilisateurs et groupes administrateurs locaux.
Il remonte cette information dans l'onglet statut d'audit du paquet. Cependant, la partie "status d'audit reste en erreur.
Par conséquent, si je veux déployer ce paquet sur toutes les machines du parc, elles seront toutes en erreur d'audit.

Serait-il possible de régler ce problème dans le paquet ?
ou
existe-t-il une requête SQL à mettre dans l'onglet reporting pour obtenir le nom des admins locaux par nom de pc ?

Je vous remercie par avance.

Cordialement,

[dcardon]

Bonjour Benoît,

dans le paquet on peut définir une liste d'utilisateur admin locaux autorisés.

Code : Tout sélectionner

allowed_admins_list = [
    rf"{get_computername()}\tisadmin",
    rf"{domain_name}\tis-adm",
]

Si le paquet trouve un admi local autorisé il ne passera pas en erreur. Après, pour les admins locaux non autorisés, il faut les nettoyer, c'est le but de l'audit qui passe en erreur/warning

Cordialement,

Denis

[Benoit]

Bonjour dcardon,

Je vous remercie pour votre réponse. Je n'avais pas vu cette liste.
Elle résout effectivement le problème cité précédemment.

Autre question :
J'ai certain compte admins locaux qui sont nominatifs. Cette liste de compte est amenée à évoluer.
Pour éviter de reconstruire le paquet à chaque évolution, serait-il possible d'autoriser tous les comptes qui commencent par "administrateur_locaux_" ?

Cdt,

[dcardon]

Bonjour Benoît,

il faut modifier le code au niveau de

Code : Tout sélectionner

    for user in admins_users:
        if not user.lower() in allow_admin:
            listerror.append(user)

Et puis changer le nom du paquet pour éviter que la console vous propose de l'upgrader avec la prochaine version qui sortira sur le store (ce qui écraserait vos modifications)

Cordialement,

Denis

[Benoit]

Bonjour,

Je vous remercie pour votre réponse.

J'ai modifié la boucle for.
Cependant, sans comprendre pourquoi, tous les comptes admin (autorisé ou non) allaient dans la liste erreur.
J'ai inversé la boucle if, et là ça fonctionne.

Code : Tout sélectionner

    listerror =  []
    admins_users  = local_group_members(name_group_admin)
    for user in admins_users:
        if user.lower() in allow_admin or user.startswith(rf'{domain_name}\*********'):
                pass
        else:
            listerror.append(user)
    if listerror:
        print (f'Les comptes administrateurs suivants ne sont pas autorisés :{listerror}') # Bad users in admin list:
        return 'ERROR'
    print('%s' % ','.join(admins_users)) # Allowed users in admin list:
    return 'OK