![允许特定的 Windows 应用程序从没有本地管理员权限的用户帐户更新](https://linux22.com/image/1466403/%E5%85%81%E8%AE%B8%E7%89%B9%E5%AE%9A%E7%9A%84%20Windows%20%E5%BA%94%E7%94%A8%E7%A8%8B%E5%BA%8F%E4%BB%8E%E6%B2%A1%E6%9C%89%E6%9C%AC%E5%9C%B0%E7%AE%A1%E7%90%86%E5%91%98%E6%9D%83%E9%99%90%E7%9A%84%E7%94%A8%E6%88%B7%E5%B8%90%E6%88%B7%E6%9B%B4%E6%96%B0.png)
我正在管理一个由大约 15 台 Windows 8.1 计算机/用户组成的小型网络。这些用户都没有本地管理员权限(因为我不想每天 24 小时都花在从计算机中删除病毒和恶意软件上)
我们使用一家名为 8x8 的公司提供的软件电话进行通信。该软件很棒,不需要管理员权限即可运行,但是,他们大约每月发布一次新版本。当这种情况发生时,为了将软件升级到最新版本,我必须亲自前往计算机并使用本地管理员密码来允许升级。
我希望有一种方法可以“信任”或“列入白名单”特定的正在运行的程序,以允许该程序直接从本地用户帐户(没有管理员访问权限)升级
值得一提的是,这款特定软件确实会检查更新并从(在我看来)程序内部启动更新。这意味着,我不必访问网站,下载 .exe 文件并运行它。如果是这样的话,我可以看出事情可能会更难,因为我怀疑是否有办法通过名称或类似的东西将某个 .exe 文件列入白名单。
有任何想法吗?
答案1
您可以使用应用程序兼容性工具包将应用程序列入白名单,这样它就不需要管理权限来运行……有时。这个过程非常简单,但根据应用程序处理事情的方式,它并不总是有效。以下是该过程的粗略介绍:
- 在计算机上安装您想要列入白名单的软件。
- 在同一台计算机上下载并安装适当的应用程序兼容性工具包(对您来说,即 Windows 8.1 ACT)。
- 启动适当的兼容性工具包 - 如果您需要将 32 位应用程序列入白名单,则启动 x86 工具包;如果您需要将 64 位应用程序列入白名单,则启动 x64 工具包。
- 创建一个数据库并向其中添加新的“应用程序修复”。
- 按照“应用程序修复”提示选择应用程序并填写适当的详细信息。重要的是将“兼容模式”设置为“runAsInvoker”。这通常会有效地将应用程序列入白名单。
- 在创建“应用程序修复”的最后一步,它将显示大量有关应用程序的信息,它将使用这些信息来“匹配”规则。如果您希望此功能在定期更新的程序上继续工作,则需要删除任何引用版本号的字段(毕竟,版本在更新后会/应该会发生变化)。
- 完成后,将数据库保存为“SDB”文件。
- 使用以下命令在每台计算机上安装“SDB”文件:
sdbinst {Local path to sdb file}
我建议使用组策略在本地计算机上创建一个文件夹,将 SDB 文件和脚本复制到其中,然后在计算机启动时运行该脚本。在这种情况下,您的脚本将需要使用“n”标志卸载现有的 SDB 文件,并使用“q”标志静默安装。此命令如下:
sdbinst -n "database-name"
sdbinst -q {Local path to SDB file}
话虽如此,当应用程序下载文件、解压文件,然后尝试启动解压文件中包含的另一个应用程序时,此过程将不起作用(毕竟,就计算机而言,这是一个不同的应用程序)。您可以通过获取更新文件、将其部署到本地计算机上的特定文件夹(网络文件夹不起作用,因为应用程序在启动前会被复制到本地计算机上的临时文件夹中)并更新白名单以指向适当的更新应用程序来解决此问题。
对于某些应用程序来说,这也不起作用。根据应用程序设置的好坏,您可能别无选择,只能向所需用户授予运行这些文件的计算机的本地管理员访问权限。我遇到过这样的问题,因为有些制造软件很糟糕(从 IT 管理角度来看),我们别无选择,只能使用。
我已成功将此过程用于 UPS World Ship 等定期推出需要管理员权限的更新的应用程序。此过程不适用于 Sage 50 Accounting 等软件,这些软件打包了单独的更新文件,而这些文件只是其他更新文件的包装器,所有更新文件都尝试从临时文件夹位置运行...
因此,底线是,尽管这可能是一种修复方法,可以将应用程序列入非管理员用户的白名单,但您的结果会因应用程序而异。除此之外,您还需要寻找一些应用程序管理软件,这些软件还可以处理推送更新……对于小型企业来说,这可能过于昂贵(或完全是过度的)。