Да мы общались в свое время с SAP про WMI и другие возможности , они сказали что нет у них ресурсов на это , так что поступите попроще.
Мы делали так (давно правда было , мог и забыть детали). В AD к пользователям по отделам привязывали в стартап скрипт который смотрел версию GUI в регистре и спрашивал пользователя готов ли он обновить
его , если пользователь отвечал да , то начиналась установка пакета при помощи LSH (под правами админа домена , как у вас). Как то так всем и обновили, смотрели переодически в sm04 на серваках кто коннектится старыми гуями , и на них накатывали скрипты.

Спасибо! Да так наверно будет проще.

Всем привет!
Съел собаку на этой проблеме.
Собака зарыта в том, что когда с клиентской машины WMI пытается запустить exe-шник c сетевой шары, то она лезет туда под локальной учёткой NT AUTHORITY/system и идет от шары лесом.
Причем для проверки пробовал через WMI запустить локальные сервисы, тот же notepad и cmd - запускаются без проблем.
Я вывернулся так:
Развернул на виртуальной машине nix-шару (конкретно FreeNAS), скопировал в эту шару то, что получилось после установки и обновления сервера на винде, и при запуске с виндового сервера указываю просто не шару на нём, а шару на FreeNAS и ВСЁ УСПЕШНО инсталлируется. Пользователь, под которым все запускается входит в группу локальных админов на клиентских машинах в домене.

Соответственно после обновления сервера надо либо перезаписать содержимое шары на nix, либо воспользоваться FreeFileSync (в режиме создания зеркальной копии) если каналы не очень (порядка 150 МБ против 600+).
Уважаемый пользователь Andy_user из Питера говорит, что проблема доступа анонима к доменной шаре имеет место быть с 2003-го сервера.

Соответственно samba на nix настроил так, чтобы все могли читать, в том числе и анонимы и только пользователь sap_install писать. Это чисто для обновления содержимого nix-овой шары.

Соответственно в инсталляционный пакет включаю сервис одновления GUI и при появлении обновлений на сервере у клиента после перезагрузки станции появляется сообщение о доступных обновлениях. Ему только остается согласиться. Установка происходит от имени sap_install (ну мы так просто назвали пользователя), специально проверял под бесправным пользователем.
Кстати если в пакет не первой версии, то при первичной инсталляции так же происходит сначала накатывание пакета, а потом патчей с дополнительным окошком подтверждения, несмотря на параметр /silent.

Все баталии подробно описаны c картинками тут: http://sysadmins.ru/topic395327.html

alexeynr, большой рахмет. Тоже копался, не мог никак разобраться в чем дело. Буду пробовать.