VBScript: Добавление доменной группы в локальную группу. Сложность

Может локальный админ не имееет прав добавлять доменные у/з? Может есть возможность запускать скрипт от имени доменной учетки (которая входит в группу локальных админов машин)?

Я вижу как минимум две ошибки:

* не описана константа «ADS_SECURE_AUTHENTICATION»;
* Вы пытаетесь объекту, полученному посредством провайдера «WinNT:», «скормить» путь в формате провайдера «LDAP:».

Option Explicit

Dim strGroup

Dim strComputer

Dim objSWbemLocator
Dim objSWbemServicesEx
Dim objSWbemObjectEx

Dim objIADsGroup_Local
Dim objIADsGroup_Global


strGroup = "bla-bla-bla"

strComputer = "."

Set objSWbemLocator     = WScript.CreateObject("WbemScripting.SWbemLocator")
Set objSWbemServicesEx  = objSWbemLocator.ConnectServer(strComputer, "root\cimv2")
Set objSWbemObjectEx    = objSWbemServicesEx.Get("Win32_SID='S-1-5-32-544'")

Set objIADsGroup_Local  = GetObject("WinNT://" & strComputer & "/" & objSWbemObjectEx.AccountName & ",group")
Set objIADsGroup_Global = GetObject("WinNT://" & WScript.CreateObject("WScript.Network").UserDomain & "/" & strGroup & ",group")

If Not objIADsGroup_Local.IsMember(objIADsGroup_Global.ADsPath) Then
    objIADsGroup_Local.Add objIADsGroup_Global.ADsPath
End If

Set objIADsGroup_Global = Nothing
Set objIADsGroup_Local  = Nothing

Set objSWbemObjectEx    = Nothing
Set objSWbemServicesEx  = Nothing
Set objSWbemLocator     = Nothing

WScript.Quit 0

Здравствуйте.
- не описана константа «ADS_SECURE_AUTHENTICATION», действительно дернул часть кода из основного скрипта, константу забыл описать....
- скормить лдап пытаюсь только по причине того, что возник ступор (возможность авторизации в домене) с WinNT.

За предложенные варианты спасибо (вот так я и не умел Set objSWbemObjectEx    = objSWbemServicesEx.Get("Win32_SID='S-1-5-32-544'"))....

Еще раз попытаюсь нарисовать что да как:

Есть:
Компьютер - CompName
Локальный пользователь CompName\Администратор
Локальная группа CompName\Администраторы

Домен - testDomain
(при необходимости, для авторизации в домене!!!) Доменный пользователь testDomain\testAdm
Доменная группа testDomain\WSAdmins

CompName заведен в testDomain, но вход в систему осуществил локальный пользователь CompName\Администратор (входящий в состав локальной группы CompName\Администраторы). Можно ли под CompName\Администратор добавить доменную группу testDomain\WSAdmins в локальную группу CompName\Администраторы.

Ваш вариант вываливает ошибку (Разрешение отклонено 'GetObject') на строку
Set objIADsGroup_Global = GetObject("WinNT://" & WScript.CreateObject("WScript.Network").UserDomain & "/" & strGroup & ",group")

WScript.CreateObject("WScript.Network").UserDomain - у меня не доменный пользователь, но даже при явном указании
Set objIADsGroup_Global = GetObject("WinNT://testDomain/" & strGroup & ",group") - ошибка Разрешение отклонено 'GetObject'

Я не проверял такой вариант. Почему не используете доменную учётную запись?

У меня в «strGroup» — «bla-bla-bla». А у Вас? По описанию — должно быть «WSAdmins». Кроме того, раз Вы исполняете скрипт под локальным пользователем, вместо «WScript.CreateObject("WScript.Network").UserDomain» указывайте «testDomain». Ну, и надо смотреть, может ли локальный администратор сие проделать вообще. Вы пробовали «ручками», работает?

Исполняя приведённый выше скрипт под доменным пользователем, входящем в группу Domain Administrators и, соответственно, имеющем административные полномочия как в домене, так и на локальной машине (поскольку при выполнении п.2 группа Domain Administrators включается в локальную группу Administrators), Вы получаете те условия, в которых я исполнял вышеприведённый скрипт у себя. Разумеется, после п.2 нужна перезагрузка машины.

Я не пойму, почему Вы не хотите сделать это под доменным администратором?

По корпоративным порядкам права админа домена мне ни кто НЕ ДАСТ. У нас очень сложная структура домена. У каждого города свой OU (+ свой "Администратор") в AD.

Вот я и интересуюсь возможностью автоматизации действия (руками то это же действие я делаю без каких либо помех) при выполнении определенных условий/ограничений.

PS:

Я и думал как то "подружить" двух этих зверей на предмет авторизации в домене, но увы...

Таки да - это я был не прав.

А до добавления в лок.группу старт скрипта от имени доменной учетки, например, через psExec.exe - тоже безуспешен?

Может попытаться на AutoIt скрипт работы с GUI попробовать сваять - но это будет какое-то извращение.

Хотелось бы штатными средствами, AutoIt - это самый самый последний вариант, который я готов использовать... Я не поверю что действие выполнимое через окошки, не получиться скриптом завернуть.....

Здравствуйте!

Как оказалось "а ларчик просто открывался....". OpenDSObject, как оказалось, с WinNT тож работает.....
Вот такой код вполне меня устроил:

Dim strGroup, strComputer, strDomain, strAdminName, strAdminPass
Dim objSWbemLocator, objSWbemServicesEx, objSWbemObjectEx
Dim objIADsGroup_Local, objIADsGroup_Global

Const ADS_SECURE_AUTHENTICATION = &H0001
'Const ADS_SERVER_BIND = &H0200

strGroup = "bla-bla-bla"

strComputer = "."
strDomain = "testDomain"

'Тут, лучше всего юзать inputbox
strAdminName = "Admin"
strAdminPass = "password"

Set objSWbemLocator     = WScript.CreateObject("WbemScripting.SWbemLocator")
Set objSWbemServicesEx  = objSWbemLocator.ConnectServer(strComputer, "root\cimv2")
Set objSWbemObjectEx    = objSWbemServicesEx.Get("Win32_SID='S-1-5-32-544'")

Set objIADsGroup_Local  = GetObject("WinNT://" & strComputer & "/" & objSWbemObjectEx.AccountName & ",group")
Set objIADsGroup_Global = GetObject("WinNT:").OpenDSObject("WinNT://" & strDomain & "/" & strGroup & ",group", strAdminName, strAdminPass, ADS_SECURE_AUTHENTICATION)

If Not objIADsGroup_Local.IsMember(objIADsGroup_Global.ADsPath) Then _
    objIADsGroup_Local.Add objIADsGroup_Global.ADsPath

Set objIADsGroup_Global = Nothing
Set objIADsGroup_Local  = Nothing

Set objSWbemObjectEx    = Nothing
Set objSWbemServicesEx  = Nothing
Set objSWbemLocator     = Nothing

Всем спасибо!

Я как-то воспользовался примером Xameleon из темы JScript: Создание окна, а также трансляция WScript в HTA для создания в vbs-скрипте окна для ввода/редактирования сразу нескольких параметров, мне там маскировать вводимое значение необходимости не было, но это легко добавить - "<input type=password ....>". Мой пример - скрипт scanNet.vbs в теме -- VBScript / WMI : Асинхронный мультипинг