about_Execution_Policies

Krótki opis

W tym artykule opisano zasady wykonywania programu PowerShell i wyjaśniono, jak nimi zarządzać.

Długi opis

Zasady wykonywania programu PowerShell to funkcja bezpieczeństwa, która kontroluje warunki, w których program PowerShell ładuje pliki konfiguracji i uruchamia skrypty. Ta funkcja pomaga zapobiegać wykonywaniu złośliwych skryptów.

Na komputerze z systemem Windows można ustawić zasady wykonywania dla komputera lokalnego, dla bieżącego użytkownika lub dla określonej sesji. Można również użyć ustawienia zasady grupy, aby ustawić zasady wykonywania dla komputerów i użytkowników.

Zasady wykonywania dla komputera lokalnego i bieżącego użytkownika są przechowywane w rejestrze. Nie musisz ustawiać zasad wykonywania w profilu programu PowerShell. Zasady wykonywania dla określonej sesji są przechowywane tylko w pamięci i są tracone po zamknięciu sesji.

Zasady wykonywania nie są systemem zabezpieczeń, który ogranicza akcje użytkownika. Na przykład użytkownicy mogą łatwo pominąć zasady, wpisując zawartość skryptu w wierszu polecenia, gdy nie mogą uruchomić skryptu. Zamiast tego zasady wykonywania ułatwiają użytkownikom ustawianie podstawowych reguł i uniemożliwia im przypadkowe naruszenie zasad.

Na komputerach z systemem innych niż Windows domyślne zasady wykonywania są Unrestricted i nie można ich zmienić. Polecenie Set-ExecutionPolicy cmdlet jest dostępne, ale program PowerShell wyświetla komunikat konsoli, że nie jest obsługiwany. Chociaż Get-ExecutionPolicy funkcja jest zwracana Unrestricted na platformach innych niż Windows, zachowanie jest naprawdę zgodneBypass, ponieważ te platformy nie implementują stref Zabezpieczenia Windows.

Zasady wykonywania programu PowerShell

Wymuszanie tych zasad odbywa się tylko na platformach Windows. Zasady wykonywania programu PowerShell są następujące:

AllSigned

  • Skrypty mogą być uruchamiane.
  • Wymaga podpisania wszystkich skryptów i plików konfiguracji przez zaufanego wydawcę, w tym skryptów zapisywanych na komputerze lokalnym.
  • Monituje użytkownika przed uruchomieniem skryptów od wydawców, których jeszcze nie sklasyfikowano jako zaufanych lub niezaufanych.
  • Ryzyko związane z uruchomieniem podpisanego, ale złośliwego skryptu.

Bypass

  • Nic nie jest zablokowane i nie ma żadnych ostrzeżeń ani monitów.
  • Te zasady wykonywania są przeznaczone do konfiguracji, w których skrypt programu PowerShell jest wbudowany w większą aplikację lub konfiguracje, w których program PowerShell jest podstawą programu, który ma własny model zabezpieczeń.

Default

  • Ustawia domyślne zasady wykonywania.
  • Restricted dla klientów z systemem Windows.
  • RemoteSigned dla serwerów z systemem Windows.

RemoteSigned

  • Domyślne zasady wykonywania dla komputerów z systemem Windows Server.
  • Skrypty mogą być uruchamiane.
  • Wymaga podpisu cyfrowego od zaufanego wydawcy w skryptach i plikach konfiguracji pobranych z Internetu, które obejmują wiadomości e-mail i programy do obsługi wiadomości błyskawicznych.
  • Nie wymaga podpisów cyfrowych na skryptach, które są zapisywane na komputerze lokalnym, a nie pobierane z Internetu.
  • Uruchamia skrypty, które są pobierane z Internetu i nie są podpisane, jeśli skrypty są odblokowane, na przykład za pomocą Unblock-File polecenia cmdlet .
  • Ryzyko uruchamiania niepodpisanych skryptów ze źródeł innych niż Internet i podpisanych skryptów, które mogą być złośliwe.

Restricted

  • Domyślne zasady wykonywania dla komputerów klienckich z systemem Windows.
  • Zezwala na poszczególne polecenia, ale nie zezwala na skrypty.
  • Zapobiega uruchamianiu wszystkich plików skryptów, w tym plików formatowania i konfiguracji (.ps1xml), plików skryptów modułu (.psm1) i profilów programu PowerShell (.ps1).

Undefined

  • W bieżącym zakresie nie ustawiono żadnych zasad wykonywania.
  • Jeśli zasady wykonywania we wszystkich zakresach to Undefined, obowiązują zasady wykonywania są Restricted przeznaczone dla klientów systemu Windows i RemoteSigned dla systemu Windows Server.

Unrestricted

  • Domyślne zasady wykonywania dla komputerów z systemem innych niż Windows i nie można ich zmienić.
  • Skrypty niepodpisane mogą być uruchamiane. Istnieje ryzyko uruchomienia złośliwych skryptów.
  • Ostrzega użytkownika przed uruchomieniem skryptów i plików konfiguracji, które nie pochodzą z lokalnej strefy intranetu.

Uwaga

W systemach, które nie rozróżniają ścieżek UNC (Universal Naming Convention) ze ścieżek internetowych, skrypty identyfikowane przez ścieżkę UNC mogą nie być dozwolone do uruchamiania z zasadami wykonywania RemoteSigned .

Zakres zasad wykonywania

Można ustawić zasady wykonywania, które są skuteczne tylko w określonym zakresie.

Prawidłowe wartości Scope to MachinePolicy, UserPolicy, Process, CurrentUser i LocalMachine. LocalMachine jest ustawieniem domyślnym podczas ustawiania zasad wykonywania.

Wartości Scope są wymienione w kolejności pierwszeństwa. Zasady, które mają pierwszeństwo, obowiązują w bieżącej sesji, nawet jeśli bardziej restrykcyjne zasady zostały ustawione na niższym poziomie pierwszeństwa.

Aby uzyskać więcej informacji, zobacz Set-ExecutionPolicy.

MachinePolicy

Ustaw zasady grupy dla wszystkich użytkowników komputera.

UserPolicy

Ustaw przez zasady grupy dla bieżącego użytkownika komputera.

Process

Zakres Process ma wpływ tylko na bieżącą sesję programu PowerShell. Zasady wykonywania są zapisywane w zmiennej środowiskowej $env:PSExecutionPolicyPreference, a nie w rejestrze. Po zamknięciu sesji programu PowerShell zmienna i wartość zostaną usunięte.

Bieżący użytkownik

Zasady wykonywania mają wpływ tylko na bieżącego użytkownika. Jest on przechowywany w podkluczu rejestru HKEY_CURRENT_USER .

Maszyna lokalna

Zasady wykonywania mają wpływ na wszystkich użytkowników na bieżącym komputerze. Jest on przechowywany w podkluczu rejestru HKEY_LOCAL_MACHINE .

Zarządzanie zasadami wykonywania za pomocą programu PowerShell

Aby uzyskać obowiązujące zasady wykonywania dla bieżącej sesji programu PowerShell, użyj Get-ExecutionPolicy polecenia cmdlet .

Następujące polecenie pobiera obowiązujące zasady wykonywania:

Get-ExecutionPolicy

Aby uzyskać wszystkie zasady wykonywania wpływające na bieżącą sesję i wyświetlić je w kolejności pierwszeństwa:

Get-ExecutionPolicy -List

Wynik wygląda podobnie do następujących przykładowych danych wyjściowych:

        Scope ExecutionPolicy
        ----- ---------------
MachinePolicy       Undefined
   UserPolicy       Undefined
      Process       Undefined
  CurrentUser    RemoteSigned
 LocalMachine       AllSigned

W takim przypadku obowiązujące zasady wykonywania to RemoteSigned , ponieważ zasady wykonywania dla bieżącego użytkownika mają pierwszeństwo przed zasadami wykonywania ustawionymi dla komputera lokalnego.

Aby uzyskać zestaw zasad wykonywania dla określonego zakresu, użyj parametru ScopeGet-ExecutionPolicy.

Na przykład następujące polecenie pobiera zasady wykonywania dla zakresu CurrentUser :

Get-ExecutionPolicy -Scope CurrentUser

Zmienianie zasad wykonywania

Aby zmienić zasady wykonywania programu PowerShell na komputerze z systemem Windows, użyj Set-ExecutionPolicy polecenia cmdlet . Zmiana jest obowiązująca natychmiast. Nie trzeba ponownie uruchamiać programu PowerShell.

Jeśli ustawisz zasady wykonywania dla zakresów LocalMachine lub CurrentUser, zmiana zostanie zapisana w rejestrze i pozostanie obowiązująca do momentu ponownej zmiany.

Jeśli ustawisz zasady wykonywania dla Process zakresu, nie zostaną zapisane w rejestrze. Zasady wykonywania są zachowywane do momentu zamknięcia bieżącego procesu i wszystkich procesów podrzędnych.

Uwaga

W systemie Windows Vista i nowszych wersjach systemu Windows, aby uruchamiać polecenia, które zmieniają zasady wykonywania dla komputera lokalnego, zakres LocalMachine , uruchom program PowerShell z opcją Uruchom jako administrator .

Aby zmienić zasady wykonywania:

Set-ExecutionPolicy -ExecutionPolicy <PolicyName>

Na przykład:

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Aby ustawić zasady wykonywania w określonym zakresie:

Set-ExecutionPolicy -ExecutionPolicy <PolicyName> -Scope <scope>

Na przykład:

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Polecenie zmiany zasad wykonywania może zakończyć się powodzeniem, ale nadal nie zmienia obowiązujących zasad wykonywania.

Na przykład polecenie, które ustawia zasady wykonywania dla komputera lokalnego może zakończyć się powodzeniem, ale może zostać zastąpione przez zasady wykonywania dla bieżącego użytkownika.

Usuwanie zasad wykonywania

Aby usunąć zasady wykonywania dla określonego zakresu, ustaw zasady wykonywania na Undefined.

Aby na przykład usunąć zasady wykonywania dla wszystkich użytkowników komputera lokalnego:

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope LocalMachine

Aby usunąć zasady wykonywania dla elementu Scope:

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope CurrentUser

Jeśli żadne zasady wykonywania nie są ustawione w żadnym zakresie, obowiązująca zasada wykonywania to Restricted, która jest wartością domyślną dla klientów systemu Windows.

Ustawianie innych zasad dla jednej sesji

Możesz użyć parametru pwsh.exeExecutionPolicy polecenia , aby ustawić zasady wykonywania dla nowej sesji programu PowerShell. Zasady mają wpływ tylko na bieżącą sesję i sesje podrzędne.

Aby ustawić zasady wykonywania dla nowej sesji, uruchom program PowerShell w wierszu polecenia, takim jak cmd.exe lub z programu PowerShell, a następnie użyj parametru ExecutionPolicy polecenia pwsh.exe , aby ustawić zasady wykonywania.

Na przykład:

pwsh.exe -ExecutionPolicy AllSigned

Ustawione zasady wykonywania nie są przechowywane w rejestrze. Zamiast tego jest on przechowywany w zmiennej środowiskowej $env:PSExecutionPolicyPreference . Zmienna jest usuwana po zamknięciu sesji, w której ustawiono zasady. Nie można zmienić zasad, edytując wartość zmiennej.

Podczas sesji zasady wykonywania ustawione dla sesji mają pierwszeństwo przed zasadami wykonywania ustawionymi w rejestrze komputera lokalnego lub bieżącego użytkownika. Nie ma jednak pierwszeństwa przed zasadami wykonywania ustawionymi przy użyciu zasady grupy.

Zarządzanie zasadami wykonywania za pomocą zasady grupy

Możesz użyć ustawienia Włącz wykonywanie skryptu zasady grupy, aby zarządzać zasadami wykonywania komputerów w przedsiębiorstwie. Ustawienie zasady grupy zastępuje zasady wykonywania ustawione w programie PowerShell we wszystkich zakresach.

Ustawienia zasad Włączania wykonywania skryptu są następujące:

  • Jeśli wyłączysz opcję Włącz wykonywanie skryptu, skrypty nie są uruchamiane. Jest to równoważne zasadom Restricted wykonywania.

  • Jeśli włączysz opcję Włącz wykonywanie skryptu, możesz wybrać zasady wykonywania. Ustawienia zasady grupy są równoważne następującym ustawieniam zasad wykonywania:

    Zasady grupy Zasady wykonywania
    Zezwalaj na wszystkie skrypty Unrestricted
    Zezwalaj na skrypty lokalne i skrypty podpisane zdalnie RemoteSigned
    Zezwalaj tylko na podpisane skrypty AllSigned
  • Jeśli nie skonfigurowano włączania wykonywania skryptu , nie ma żadnego wpływu. Zasady wykonywania ustawione w programie PowerShell są skuteczne.

Pliki PowerShellExecutionPolicy.adm i PowerShellExecutionPolicy.admx dodaj zasady Włącz wykonywanie skryptu do węzłów Konfiguracja komputera i Konfiguracja użytkownika w edytorze zasady grupy w poniższych ścieżkach.

W przypadku systemów Windows XP i Windows Server 2003:

Administrative Templates\Windows Components\Windows PowerShell

W przypadku systemu Windows Vista i nowszych wersji systemu Windows:

Administrative Templates\Classic Administrative Templates\Windows Components\Windows PowerShell

Zasady ustawione w węźle Konfiguracja komputera mają pierwszeństwo przed zasadami ustawionymi w węźle Konfiguracja użytkownika.

Aby uzyskać więcej informacji, zobacz about_Group_Policy_Settings.

Pierwszeństwo zasad wykonywania

Podczas określania obowiązujących zasad wykonywania dla sesji program PowerShell ocenia zasady wykonywania w następującej kolejności pierwszeństwa:

Group Policy: MachinePolicy
Group Policy: UserPolicy
Execution Policy: Process (or pwsh.exe -ExecutionPolicy)
Execution Policy: CurrentUser
Execution Policy: LocalMachine

Zarządzanie podpisanymi i niepodpisanymi skryptami

W systemie Windows programy, takie jak Internet Explorer i Microsoft Edge, dodają alternatywny strumień danych do plików, które są pobierane. Oznacza to plik jako "pochodzący z Internetu". Jeśli zasady wykonywania programu PowerShell są remoteSigned, program PowerShell nie będzie uruchamiać niepodpisanych skryptów pobranych z Internetu, w tym programów do obsługi wiadomości e-mail i wiadomości błyskawicznych.

Możesz podpisać skrypt lub wybrać uruchamianie niepodpisanego skryptu bez zmiany zasad wykonywania.

Począwszy od programu PowerShell 3.0, można użyć parametru Get-Itemusługi Stream polecenia cmdlet do wykrywania plików, które są zablokowane, ponieważ zostały pobrane z Internetu. Unblock-File Użyj polecenia cmdlet, aby odblokować skrypty, aby można było je uruchomić w programie PowerShell.

Aby uzyskać więcej informacji, zobacz about_Signing, Get-Item i Unblock-File.

Uwaga

Inne metody pobierania plików mogą nie oznaczać plików jako pochodzących ze strefy internetowej. Oto niektóre przykłady:

  • curl.exe
  • Invoke-RestMethod
  • Invoke-WebRequest

Zasady wykonywania w systemie Windows Server Core i Windows Nano Server

Gdy program PowerShell 6 jest uruchamiany w systemie Windows Server Core lub Windows Nano Server w określonych warunkach, zasady wykonywania mogą zakończyć się niepowodzeniem z powodu następującego błędu:

AuthorizationManager check failed.
At line:1 char:1
+ C:\scriptpath\scriptname.ps1
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : SecurityError: (:) [], PSSecurityException
    + FullyQualifiedErrorId : UnauthorizedAccess

Program PowerShell używa interfejsów API w powłoce pulpitu systemu Windows (explorer.exe), aby zweryfikować strefę pliku skryptu. Powłoka systemu Windows nie jest dostępna w systemach Windows Server Core i Windows Nano Server.

Ten błąd można również uzyskać w dowolnym systemie Windows, jeśli powłoka pulpitu systemu Windows jest niedostępna lub nie odpowiada. Na przykład podczas logowania skrypt logowania programu PowerShell może rozpocząć wykonywanie przed przygotowaniem pulpitu systemu Windows, co spowoduje niepowodzenie.

Użycie zasad wykonywania elementu ByPass lub AllSigned nie wymaga sprawdzenia strefy, co pozwala uniknąć problemu.

Zobacz też