Question

我有一种不寻常的情况，我需要一个SharePoint计时器作业，它既具有本地管理员窗口权限，又具有SHAREPOINT\System SharePoint权限。

我只需将计时器服务配置为使用本地管理员成员的帐户即可获得Windows权限。我知道这不是一个好的解决方案，因为它为SharePoint计时器服务提供了它应该具有的更多权限。但它至少允许我的SharePoint计时器作业运行stsadm。

在本地管理员下运行计时器服务的另一个问题是，此用户不一定拥有此{SharePoint}作业所需的SHAREPOINT\System SharePoint权限。事实证明SPSecurity.RunWithElevatedPrivileges在这种情况下不起作用。反射器显示RunWithElevatedPrivileges检查当前进程是否为owstimer（运行SharePoint作业的服务进程）并且不执行任何提升就是这种情况（我猜，这里的理性是计时器服务是应该在具有NT AUTHORITY\NetworkService SharePoint权限的SHAREPOINT\System Windows帐户下运行，因此无需提升计时器作业的权限。

这里唯一可行的解决方案似乎是在其通常的NetworkService Windows帐户下运行计时器服务，并通过在某处存储管理员凭据并将它们传递给System.Diagnostics.Process.Run（）来运行stsadm作为本地管理员StarInfo的用户名，域名和密码。

现在看来一切都应该有效，但这是我目前所困扰的另一个问题。 Stsamd失败并出现以下错误弹出窗口（！）（Winternals filemon显示在这种情况下stsadm在管理员下运行）：

The application failed to initialize properly (0x0c0000142).
Click OK to terminate the application.

事件查看器只会注册弹出窗口。

本地管理员用户是我的帐户，当我在此帐户下以交互方式运行stsadm时，一切正常。当我将计时器服务配置为在此帐户下运行时，它也可以正常工作。

任何建议都表示赞赏：）

Answer 1

我不在工作，所以这不是我的头脑，但是：如果您获得对本网站的引用，您是否可以尝试使用SYSTEM-UserToken创建一个新的SPSite？

SPUserToken sut = thisSite.RootWeb.AllUsers["SHAREPOINT\SYSTEM"].UserToken;

using (SPSite syssite = new SPSite(thisSite.Url,sut)
{
    // Do what you have to do
}

Answer 2

如果以这种方式运行（例如，来自具有显式凭据的计时器作业），其他应用程序的失败方式与“应用程序未能正确初始化”相同。我只是简单的应用程序，它采用另一个可执行文件的路径及其参数作为参数，当从该计时器作业运行时，它以同样的方式失败。

internal class ExternalProcess
{
    public static void run(String executablePath, String workingDirectory, String programArguments, String domain, String userName,
                           String password, out Int32 exitCode, out String output)
    {
        Process process = new Process();

        process.StartInfo.UseShellExecute = false;
        process.StartInfo.RedirectStandardError = true;
        process.StartInfo.RedirectStandardOutput = true;

        StringBuilder outputString = new StringBuilder();
        Object synchObj = new object();

        DataReceivedEventHandler outputAppender =
            delegate(Object sender, DataReceivedEventArgs args)
                {
                    lock (synchObj)
                    {
                        outputString.AppendLine(args.Data);
                    }
                };

        process.OutputDataReceived += outputAppender;
        process.ErrorDataReceived += outputAppender;

        process.StartInfo.FileName = @"C:\AppRunner.exe";
        process.StartInfo.WorkingDirectory = workingDirectory;
        process.StartInfo.Arguments = @"""" + executablePath + @""" " + programArguments;

        process.StartInfo.UserName = userName;
        process.StartInfo.Domain = domain; 
        SecureString passwordString = new SecureString();

        foreach (Char c in password)
        {
            passwordString.AppendChar(c);
        }

        process.StartInfo.Password = passwordString;

        process.Start();

        process.BeginOutputReadLine();
        process.BeginErrorReadLine();

        process.WaitForExit();

        exitCode = process.ExitCode;
        output = outputString.ToString();
    }
}

AppRunner与上面的片段基本相同，但没有用户名和密码

Answer 3

SharePoint计时器作业使用SharePoint Firm Admin凭据运行，因为信息会进入SharePoint配置数据库。因此，应用程序池将无法访问。

为了在开发环境中测试计时器作业，我们可以暂时将应用程序池帐户更改为用于管理中心的应用程序池帐户。

Sharepoint：从计时器作业+ SHAREPOINT \ System权限执行stsadm

3 个答案: