MDT Modülü JEA Bitiş Noktasından Medya Güncelleme, BCD girişini ekleyemediğinde

Question

Bir JEA bitiş noktasında MDT çevrimdışı medyayı uzaktan güncelleme ile ilgili bir sorunla karşılaşıyorum. Hata, BCDEdit'e aktarılan izinlerle ve JEA tarafından oluşturulan sanal hesapla (WinRM Kullanıcısı ...) ilgili bir şey var. BCDEdit, belirtilen oluşturma işlemini denerken bir hata oluştu. Hata oluştu. Bu güvenlik kimliği, bu nesnenin sahibi olarak atanmamış olabilir. X64 önyükleme yapılandırmasıyla BCD dosyasını güncellemeye çalışırken

.

Komut:

Invoke-Command -ComputerName $DeploymentServerName -ConfigurationName MDTUpdate -ScriptBlock { 
     New-PSDrive -Name "DS002" -PSProvider MDTProvider -Root "$Using:LocalDeploymentShareFolder" -ErrorAction Stop 
     Update-MDTMedia -Path "DS002:\Media\MEDIA001" -Verbose 
    } -Credential $MDTCreds -ErrorAction Stop 

Komuta MDT modülü çalıştırır:

'C:\Program Files (x86)\Windows Kits\10\Assessment and Deployment Kit\Deployment Tools\AMD64\BCDBoot\bcdedit.exe' -store "C:\MyVMs\MDT\USB\Content\Boot\bcd" /create "{f31cce1a-e314-4481-9ac9-e519f65dff65}" -d "Litetouch Boot [MEDIA001] (x64)" -application OSLOADER 

Hata JEA dan Transkript:

@{ 
    SchemaVersion = '2.0.0.0' 
    SessionType = 'Default' 
    ExecutionPolicy = 'Unrestricted' 
    LanguageMode = 'FullLanguage' 
    TranscriptDirectory = 'C:\JEA\Transcripts' 
    RunAsVirtualAccount = $true 
    RoleDefinitions = @{ 
     'ExampleDomain\ExampleUserOrGroup' = @{ 
      'RoleCapabilities' = 'MDTUpdate' 
     } 
    } 
} 

: oturum yapılandırmasındaki

VERBOSE: Error detected running command: 'C:\Program Files (x86)\Windows Kits\10\Assessment and Deployment Kit\Deployment Tools\AMD64\BCDBoot\bcdedit.exe -store "C:\MyVMs\MDT\USB\Content\Content\Boot\bcd" /create "{f31cce1a-e314-4481-9ac9-e519f65dff65}" -d "Litetouch Boot [MEDIA001] (x64)" -application OSLOADER' Exit code is: 1 
VERBOSE: Error text is: An error occurred while attempting the specified create operation. This security ID may not be assigned as the owner of this object. 
Update-MDTMedia : BcdEdit returned an error. 
At line:5 char:9 
+   Update-MDTMedia -Path "DS002:\Media\MEDIA001" -Verbose 
+   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 
    + CategoryInfo   : InvalidOperation: (MEDIA001:String) [Update-MDTMedia], DeploymentPointException 
    + FullyQualifiedErrorId : BcdEditError,Microsoft.BDD.PSSnapIn.GenerateMDTMedia 

İlgili bilgiler Rol yapılandırmasındaki

İlgili içerik:

@{ 
ModulesToImport = 'C:\Program Files\Microsoft Deployment Toolkit\Bin\MicrosoftDeploymentToolkit.psd1' 
VisibleCmdlets = 'Get-Command','Out-Default','Exit-PSSession','Measure-Object','Select-Object','Get-FormatData','Start-Transcript','Stop-Transcript','Import-Module','Get-Module','New-PSDrive','Write-Output','Update-MDTDeploymentShare','Remove-Item','Update-MDTMedia','New-Item','Remove-PSDrive' 
VisibleProviders = 'FileSystem', 'MDTProvider' 
VisibleExternalCommands = 'bcdedit.exe' 
} 

nasıl sanal hesap altında çalışan Bcdedit uygun izinleri verebilir? Ya da JEA'yı bırakmak ve bir servis hesabı yerel yönetici hakları vermek ve varsayılan PSSession altında çalıştırmak zorunda mıyım?

Answer 1

Akla gelen şey, hesabın bir parçası olduğu grubun yalnızca Salt Okunur izinlerinden daha fazlasına sahip olduğundan emin olmaktır. Herhangi bir powershell komutunu çalıştırabildiğim bir durum vardı, ancak powershell olmayan bir yerel programı çağırmaya geldiğinde, bana izin sorunları verecekti.

Bunun yanısıra, komut dosyası bloğu içinde bir runas kullanmak da var, ama bu JEA'nın tüm amacına aykırı.