Get-EventLog zgłasza błąd uprawnień

Get-EventLog zgłasza błąd uprawnień wskazuje na próbę odczytu dziennika Security bez uprawnień administratora — trzeba uruchomić PowerShell z podniesionymi uprawnieniami.

Co oznacza komunikat o braku uprawnień w Get-EventLog

Komunikat „Get-EventLog zgłasza błąd uprawnień” pojawia się wtedy, gdy polecenie PowerShell próbuje odczytać dziennik zdarzeń, do którego bieżący użytkownik lub uruchomiona sesja nie ma wystarczającego dostępu. Dotyczy to szczególnie logu Security, ponieważ zawiera on informacje o logowaniach, zmianach zasad zabezpieczeń, użyciu uprawnień oraz innych zdarzeniach istotnych z punktu widzenia ochrony systemu. Dostęp do takich danych jest ograniczany przez system Windows, dlatego samo wpisanie poprawnej składni polecenia nie zawsze wystarcza.

Get-EventLog jest starszym poleceniem służącym do pobierania wpisów z klasycznych dzienników zdarzeń. Jeżeli PowerShell został uruchomiony w zwykłym oknie, bez podwyższonego poziomu uprawnień, odczyt wybranych logów może zostać przerwany błędem typu UnauthorizedAccessException, komunikatem o odmowie dostępu albo informacją, że żądana operacja wymaga uprawnień administratora. Nie musi to oznaczać uszkodzenia dziennika ani błędu samego PowerShella.

Warto odróżnić brak uprawnień do odczytu od braku samego dziennika. Nazwa źródła, zakres dat, filtr lub dostępność konkretnego logu mogą powodować inne komunikaty. W przypadku problemu uprawnień charakterystyczne jest to, że podobne polecenie działa dla mniej chronionego dziennika, na przykład Application albo System, lecz zatrzymuje się przy próbie odczytu danych zabezpieczeń.

Uprawnienia sesji PowerShell a sposób odczytu dzienników

Najprostszym rozwiązaniem jest uruchomienie PowerShella z opcją „Uruchom jako administrator”, a następnie ponowienie polecenia. Podwyższenie sesji nie zmienia samego polecenia, lecz pozwala wykonać je w kontekście konta, które może uzyskać dostęp do chronionych informacji. Przy pracy zdalnej lub przez narzędzie administracyjne znaczenie ma również konto użyte do ustanowienia sesji. Administrator lokalny, konto domenowe oraz konto standardowe mogą otrzymywać różny zakres dostępu, nawet jeżeli polecenie zostało zapisane identycznie.

Przykładowa kontrola może rozpocząć się od odczytu mniej chronionego logu:

Get-EventLog -LogName System -Newest 20

Dla dziennika zabezpieczeń używa się odpowiednio wskazanej nazwy:

Get-EventLog -LogName Security -Newest 20

Jeżeli drugie polecenie działa dopiero po otwarciu podwyższonego okna, przyczyną jest najczęściej kontekst uruchomienia, a nie uszkodzenie systemu. W nowych wersjach Windows i PowerShella częściej zaleca się używanie polecenia Get-WinEvent, ponieważ obsługuje ono więcej typów dzienników oraz oferuje dokładniejsze filtrowanie. Przykładowo:

Get-WinEvent -LogName Security -MaxEvents 20

Zmiana polecenia nie omija jednak kontroli dostępu. Jeżeli konto nie ma prawa do danego logu, również Get-WinEvent może zwrócić odmowę dostępu. Należy wtedy sprawdzić, czy sesja jest podniesiona, czy konto należy do właściwej grupy administracyjnej oraz czy lokalne zasady bezpieczeństwa nie ograniczają odczytu. Przydatne może być także rozróżnienie między uruchomieniem PowerShella lokalnie a wykonaniem polecenia przez usługę, harmonogram zadań lub zdalną sesję, ponieważ każdy z tych sposobów może działać z innym tokenem bezpieczeństwa.

Typowe przyczyny i błędy towarzyszące - Get-EventLog zgłasza błąd uprawnień

Najczęściej problem wynika z uruchomienia konsoli bez podwyższonych uprawnień. W systemie z kontrolą konta użytkownika przynależność do grupy administratorów nie zawsze oznacza, że każda aplikacja działa od razu z pełnym tokenem administracyjnym. Do czasu potwierdzenia zgody przez mechanizm kontroli konta program może pracować z ograniczonym zestawem praw.

Drugą przyczyną bywa użycie niewłaściwego konta. Dotyczy to zwłaszcza komputerów, na których dostęp do logów jest ograniczony zasadami lokalnymi albo domenowymi. Samo podanie poświadczeń w innym miejscu nie musi zmienić uprawnień już otwartej sesji PowerShell. W takiej sytuacji należy zamknąć bieżące okno i uruchomić nowe z właściwym kontem oraz wymaganym poziomem dostępu.

Odmowę dostępu może wywołać także wykonywanie skryptu z harmonogramu zadań. Zadanie uruchomione bez zaznaczenia opcji wykonywania z najwyższymi uprawnieniami może zachowywać się inaczej niż identyczne polecenie wpisane ręcznie w konsoli administratora. Podobny efekt występuje w przypadku usług, narzędzi do zdalnego zarządzania i skryptów startowych, które działają w kontekście kont systemowych albo technicznych.

Nie należy mylić tego problemu z polityką wykonywania skryptów. Ograniczenie ExecutionPolicy blokuje uruchomienie określonych skryptów, natomiast błąd uprawnień przy Get-EventLog odnosi się zwykle do dostępu do danych dziennika. Również filtrowanie po identyfikatorze zdarzenia, źródle czy dacie nie naprawi braku uprawnień, choć może ograniczyć liczbę zwracanych wpisów po prawidłowym otwarciu logu.

Przed zmianą ustawień zabezpieczeń warto ustalić dokładny tekst błędu, nazwę dziennika, konto użyte do uruchomienia konsoli i sposób wykonania polecenia. Bez tych informacji łatwo zmienić niewłaściwą zasadę albo nadać zbyt szeroki dostęp. Zwykle bezpieczniej jest użyć jednorazowo podwyższonej sesji niż trwale rozszerzać prawa wszystkich użytkowników.

Kiedy trzeba umówić wizytę serwisową - Get-EventLog zgłasza błąd uprawnień

Pomoc specjalisty jest wskazana, gdy błąd występuje także w podwyższonej sesji, pojawia się na kilku kontach albo towarzyszą mu problemy z uruchamianiem usług, logowaniem lub zapisem nowych zdarzeń. Wymaga to sprawdzenia stanu dzienników, lokalnych zasad zabezpieczeń, członkostwa w grupach użytkowników oraz sposobu uruchamiania poleceń. Szczególnej ostrożności wymaga sytuacja, w której próbuje się zmienić uprawnienia do logu Security bez wcześniejszego zapisania bieżącej konfiguracji.

Do serwisu warto zgłosić się również wtedy, gdy komunikat wystąpił po aktualizacji systemu, zmianie konta, instalacji oprogramowania ochronnego albo modyfikacji zasad lokalnych. Przydatne będzie przekazanie pełnej treści błędu, informacji o wersji Windows i PowerShella oraz przykładu polecenia, które go wywołuje. Pozwala to szybciej odróżnić zwykły brak podwyższenia sesji od problemu z konfiguracją systemu.

W Warszawie takie przypadki można przekazać do Warszawskiego Pogotowia Komputerowego 24/7, gdzie podczas obsługi laptopa dostępna jest darmowa diagnoza LAPTOPA. W ramach sprawdzenia można zweryfikować konto, poziom uruchomienia PowerShella, dostęp do poszczególnych dzienników i wpływ lokalnych zasad bezpieczeństwa, a następnie dobrać rozwiązanie ograniczające zmiany do zakresu potrzebnego do prawidłowego odczytu zdarzeń.