Quale rubrica cerca un’attività SYSTEM per i profili VPN?

Il vostro profilo VPN è proprio lì in Impostazioni, e l’attività pianificata continua a segnalare che non riesce a trovare la connessione. Nulla è danneggiato: l’archivio VPN nativo di Windows è per utente salvo che il profilo sia stato creato come profilo per tutti gli utenti, e un’attività viene eseguita con l’account indicato dal suo principal. Di solito l’attività legge una rubrica che non ha mai contenuto il vostro profilo. Due comandi e un’impostazione dell’attività bastano a dimostrarlo, e vale la pena eseguirli prima che qualcuno ricostruisca la connessione.

Due archivi contengono lo stesso nome di profilo

Un profilo VPN nativo di Windows vive nell’archivio dell’account che l’ha creato. L’archivio globale è un’altra rubrica, che si riempie solo quando il profilo viene creato con l’opzione per tutti gli utenti in una sessione elevata. Entrambi possono contenere un profilo con lo stesso nome, e nessuno è una vista dell’altro.

Leggete entrambi gli archivi dalla stessa sessione e confrontate i nomi che restituiscono. L’opzione seleziona l’archivio globale, e leggerlo di solito richiede una sessione elevata:

Get-VpnConnection | Select-Object Name, ServerAddress, TunnelType
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType

Se il primo comando elenca il profilo e il secondo no, nessun cambio di credenziali aiuterà un’attività eseguita con un altro account, perché il problema è l’appartenenza e non l’autenticazione. Se entrambi lo elencano, l’archivio non è la causa e vale la sezione seguente. Quell’unico confronto chiude metà di questi ticket. Annotate quale archivio ha risposto e con quale account avete eseguito il controllo, perché la risposta non significa nulla senza entrambi i fatti.

Leggete il principal dell’attività prima delle sue credenziali

Aprite l’attività e leggete il principal, perché indica quale archivio l’attività può vedere. Un’attività impostata per essere eseguita come SYSTEM non è il vostro account con diritti aggiuntivi: ha un proprio profilo e nessun accesso alla rubrica per utente che avete creato mentre eravate connessi. Un account di servizio si comporta esattamente allo stesso modo.

L’opzione di esecuzione indipendentemente dall’accesso cambia anche questo, perché allora l’attività non ha alcuna sessione interattiva di cui possa prendere in prestito le credenziali. Fate scrivere whoami in un file all’azione e leggete la risposta invece di presumerla.

La diagnostica dal vostro terminale non dice nulla su questo problema, perché mostra ciò che vede il vostro account. Eseguite il confronto sotto l’identità dell’attività tramite qualsiasi processo approvato abbiate per farlo. L’output incollato da una console di amministrazione è un altro insieme di dati, non uno più privilegiato. Se un tale processo non esiste, l’attività deve registrare essa stessa la risposta, cosa che prepara l’ultima sezione.

Trovare il profilo non è accedere

Un profilo per tutti gli utenti rende la configurazione visibile più ampiamente. Non porta la password salvata dell’account che l’ha creato, e non consegna a un altro account la chiave privata memorizzata nel vostro profilo utente. Visibilità e credenziali utilizzabili sono due test separati, e superare il primo non dice nulla sul secondo.

Se l’attività ora trova il profilo e fallisce l’autenticazione, è un progresso e quella fase appartiene al registro. Spostate il certificato nell’archivio del computer, oppure fornite il segreto tramite il meccanismo proprio della distribuzione, invece di ricreare di nuovo il nome della connessione. Ricrearlo produce lo stesso errore con una marca temporale più recente. Microsoft documenta i due ambiti tra cui sceglie l’opzione del cmdlet.

Le sfide non interattive sono la trappola dietro quella fase. Una richiesta di PIN o un codice monouso non possono essere soddisfatti da un’attività senza desktop, quindi un profilo che compone perfettamente a mano può essere inutilizzabile sotto automazione.

Quattro campi che servono al registro dell’attività

Tenete insieme in un solo posto i valori che decidono l’esito, perché tre di essi restano di solito impliciti. Il registro ha bisogno di quattro righe:

• Percorso dell’azione: lo script o l’eseguibile che l’attività avvia, non un collegamento che si risolve diversamente per un altro account.
• Nome del profilo: la stringa esatta, perché due archivi possono contenere lo stesso nome che punta a server diversi.
• Principal: l’account con cui viene eseguita l’attività, e se dispone di una sessione interattiva.
• Metodo di autenticazione: ciò che quel principal può davvero completare, ad esempio un certificato dell’archivio del computer invece di una chiave nel vostro profilo utente.

Quelle quattro righe rispondono alla domanda che il ticket pone davvero, cioè quale configurazione ha usato l’automazione. Sopravvivono anche alla prossima ricostruzione dell’attività, quando l’autore originale non è lì a spiegare perché il nome contava. Senza di esse lo stesso errore torna dopo la distribuzione successiva e costa di nuovo le stesse ore.

Individuate la fase raggiunta dall’attività

Strumentate l’azione invece di indovinare dal risultato dell’ultima esecuzione. Un breve wrapper registra l’identità, l’archivio che può vedere e l’esito della composizione in un solo posto:

whoami
Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
rasdial "Office"
schtasks /query /tn "VPN Connect" /v /fo LIST

Il comando di composizione stampa il proprio errore, di solito più chiaro di un errore generico dell’attività. La query restituisce il principal e l’ultimo codice di risultato affiancati, così identità ed esito sono visibili in un’unica vista. Questi due fatti decidono se il passo successivo è un cambio di archivio o un cambio di credenziali.

Infine, separate un’attività che si connette dopo l’accesso di un utente da un tunnel del dispositivo o da un flusso di lavoro supportato prima dell’accesso. Condividere un solo profilo non è un progetto per nessuno dei due, e il campo principal è ciò che vi dice quale dei tre avete costruito. Se la connettività deve esistere prima dell’accesso, l’archivio dei profili per utente è lo strato sbagliato da riparare.