about_Execution_Policies

简短说明

介绍 PowerShell 执行策略，并说明如何管理它们。

长说明

PowerShell 执行策略是一项安全功能，用于控制 PowerShell 加载配置文件和运行脚本的条件。 此功能有助于防止恶意脚本的执行。

在 Windows 计算机上，可以为本地计算机、当前用户或特定会话设置执行策略。 还可使用组策略设置为计算机和用户设置执行策略。

本地计算机和当前用户的执行策略存储在注册表中。 无需在 PowerShell 配置文件中设置执行策略。 特定会话的执行策略仅存储在内存中，并在会话关闭时丢失。

执行策略不是限制用户操作的安全系统。 例如，当用户无法运行脚本时，用户可以通过在命令行键入脚本内容来轻松绕过策略。 相反，执行策略可帮助用户设置基本规则，并防止他们无意违反这些规则。

在非 Windows 计算机上，默认执行策略是 Unrestricted 无法更改的。 该 Set-ExecutionPolicy cmdlet 可用，但 PowerShell 会显示不支持的控制台消息。 虽然Get-ExecutionPolicy在Unrestricted非 Windows 平台上返回，但行为确实匹配Bypass，因为这些平台不实现Windows 安全中心区域。

PowerShell 执行策略

这些策略的执行仅在 Windows 平台上发生。 PowerShell 执行策略如下所示：

AllSigned

• 脚本可以运行。
• 要求所有脚本和配置文件都由受信任的发布者签名，包括在本地计算机上编写的脚本。
• 在从尚未分类为受信任的或不受信任的发布者运行脚本之前，会提示你。
• 运行已签名但恶意脚本的风险。

Bypass

• 不阻止任何操作，并且没有任何警告或提示。
• 此执行策略适用于 PowerShell 脚本内置于更大的应用程序或 PowerShell 是具有其安全模型的程序的基础的配置。

Default

• 设置默认执行策略。
• Restricted 适用于 Windows 客户端。
• 适用于 Windows 服务器的 RemoteSigned。

RemoteSigned

• Windows 服务器计算机的默认执行策略。
• 脚本可以运行。
• 需要来自受信任的发布者对从 Internet 下载的脚本和配置文件（包括电子邮件和即时消息程序）的数字签名。
• 不需要对在本地计算机上编写的脚本（而不是从 Internet 下载）进行数字签名。
• 如果脚本被取消阻止，则运行从 Internet 下载且未签名的脚本，例如使用 Unblock-File cmdlet。
• 从 Internet 以外的源运行未签名脚本的风险，以及可能是恶意的签名脚本。

Restricted

• Windows 客户端计算机的默认执行策略。
• 允许单个命令，但不允许脚本。
• 防止运行所有脚本文件，包括格式化和配置文件 () .ps1xml 、模块脚本文件 (.psm1) ，以及 powerShell 配置文件 (.ps1) 。

Undefined

• 当前范围内没有设置执行策略。
• 如果所有范围内的执行策略为 Undefined，则有效的执行策略适用于 Restricted Windows 客户端和适用于 Windows Server 的 RemoteSigned 。

Unrestricted

• 非 Windows 计算机的默认执行策略，无法更改。
• 未签名的脚本可以运行。 存在运行恶意脚本的风险。
• 在运行不是来自本地 Intranet 区域的脚本和配置文件之前，警告用户。

注意

在不区分通用命名约定 (UNC) 路径与 Internet 路径的系统上，不允许使用 RemoteSigned 执行策略运行 UNC 路径标识的脚本。

执行策略范围

可以设置仅在特定范围内有效的执行策略。

有效值为 ScopeMachinePolicyUserPolicy、ProcessCurrentUser 和 LocalMachine。 设置执行策略时，LocalMachine 是默认设置。

这些 Scope 值按优先顺序列出。 优先策略在当前会话中有效，即使在优先级较低级别设置更严格的策略也是如此。

有关详细信息，请参阅 Set-ExecutionPolicy。

MachinePolicy

为计算机的所有用户设置组策略。

UserPolicy

为计算机的当前用户设置组策略。

Process

范围 Process 仅影响当前的 PowerShell 会话。 执行策略保存在环境变量 $env:PSExecutionPolicyPreference中，而不是注册表。 关闭 PowerShell 会话后，将删除变量和值。

CurrentUser

执行策略仅影响当前用户。 它存储在 HKEY_CURRENT_USER 注册表子项中。

LocalMachine

执行策略会影响当前计算机上的所有用户。 它存储在 HKEY_LOCAL_MACHINE 注册表子项中。

使用 PowerShell 管理执行策略

若要获取当前 PowerShell 会话的有效执行策略，请使用 Get-ExecutionPolicy cmdlet。

以下命令获取有效的执行策略：

Get-ExecutionPolicy

若要获取影响当前会话的所有执行策略，并按优先顺序显示它们：

Get-ExecutionPolicy -List

结果类似于以下示例输出：

        Scope ExecutionPolicy
        ----- ---------------
MachinePolicy       Undefined
   UserPolicy       Undefined
      Process       Undefined
  CurrentUser    RemoteSigned
 LocalMachine       AllSigned

在这种情况下，有效的执行策略是 RemoteSigned ，因为当前用户的执行策略优先于本地计算机的执行策略集。

若要获取特定范围的执行策略集，请使用 Scope 参数 Get-ExecutionPolicy。

例如，以下命令获取 CurrentUser 范围的执行策略：

Get-ExecutionPolicy -Scope CurrentUser

更改执行策略

若要更改 Windows 计算机上的 PowerShell 执行策略，请使用 Set-ExecutionPolicy cmdlet。 更改立即生效。 无需重启 PowerShell。

如果为 Scopes LocalMachine 或 CurrentUser 设置执行策略，则更改将保存在注册表中，并在再次更改之前保持有效。

如果为 Process 范围设置了执行策略，则不会保存在注册表中。 执行策略将保留，直到当前进程和任何子进程关闭。

注意

在 Windows Vista 和更高版本的 Windows 中，若要运行命令，更改本地计算机的执行策略 LocalMachine 范围，请使用 “以管理员身份运行 ”选项启动 PowerShell。

若要更改执行策略，请执行以下操作：

Set-ExecutionPolicy -ExecutionPolicy <PolicyName>

例如：

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

若要在特定范围内设置执行策略，请执行以下操作：

Set-ExecutionPolicy -ExecutionPolicy <PolicyName> -Scope <scope>

例如：

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

更改执行策略的命令可以成功，但仍不能更改有效的执行策略。

例如，设置本地计算机的执行策略的命令可以成功，但由当前用户的执行策略重写。

删除执行策略

若要删除特定范围的执行策略，请将执行策略设置为 Undefined。

例如，若要删除本地计算机所有用户的执行策略：

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope LocalMachine

若要删除以下项 Scope的执行策略，请执行以下操作：

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope CurrentUser

如果未在任何范围内设置执行策略，则有效执行策略为 RestrictedWindows 客户端的默认策略。

为一个会话设置不同的策略

可以使用 ExecutionPolicy 参数 pwsh.exe 为新的 PowerShell 会话设置执行策略。 该策略仅影响当前会话和子会话。

若要为新会话设置执行策略，请在命令行（如 cmd.exe 或从 PowerShell）启动 PowerShell，然后使用 ExecutionPolicy 参数 pwsh.exe 设置执行策略。

例如：

pwsh.exe -ExecutionPolicy AllSigned

设置的执行策略不会存储在注册表中。 而是存储在环境变量中 $env:PSExecutionPolicyPreference 。 关闭设置策略的会话时，将删除该变量。 无法通过编辑变量值来更改策略。

在会话期间，为会话设置的执行策略优先于在本地计算机或当前用户的注册表中设置的执行策略。 但是，它不优先于使用组策略设置的执行策略。

使用组策略管理执行策略

可以使用“打开脚本执行”组策略设置来管理企业中计算机的执行策略。 组策略设置覆盖所有范围内 PowerShell 中设置的执行策略。

打开脚本执行策略设置如下所示：

• 如果禁用 “启用脚本执行”，则脚本不会运行。 这相当于 Restricted 执行策略。

• 如果启用 “启用脚本执行”，可以选择执行策略。 组策略设置等效于以下执行策略设置：

  组策略	执行策略
  允许所有脚本	Unrestricted
  允许本地脚本和远程签名脚本	RemoteSigned
  仅允许已签名脚本	AllSigned

• 如果未配置 “启用脚本执行 ”，则它不起作用。 PowerShell 中的执行策略集有效。

PowerShellExecutionPolicy.adm 和 PowerShellExecutionPolicy.admx 文件将“打开脚本执行”策略添加到以下路径中组策略编辑器中的计算机配置和用户配置节点。

对于 Windows XP 和 Windows Server 2003：

Administrative Templates\Windows Components\Windows PowerShell

对于 Windows Vista 和更高版本的 Windows：

Administrative Templates\Classic Administrative Templates\Windows Components\Windows PowerShell

计算机配置节点中设置的策略优先于用户配置节点中设置的策略。

有关详细信息，请参阅 about_Group_Policy_Settings。

执行策略优先级

确定会话的有效执行策略时，PowerShell 按以下优先顺序评估执行策略：

Group Policy: MachinePolicy
Group Policy: UserPolicy
Execution Policy: Process (or pwsh.exe -ExecutionPolicy)
Execution Policy: CurrentUser
Execution Policy: LocalMachine

管理已签名和未签名的脚本

在 Windows 中，Internet Explorer 和 Microsoft Edge 等程序向下载的文件添加备用数据流。 这会将文件标记为“来自 Internet”。 如果 PowerShell 执行策略为 RemoteSigned，则 PowerShell 不会运行从 Internet 下载的未签名脚本，其中包括电子邮件和即时消息程序。

可以对脚本进行签名，或选择在不更改执行策略的情况下运行未签名的脚本。

从 PowerShell 3.0 开始，可以使用 cmdlet 的 Get-ItemStream 参数检测因从 Internet 下载而阻止的文件。 使用 Unblock-File cmdlet 取消阻止脚本，以便可以在 PowerShell 中运行它们。

有关详细信息，请参阅 about_Signing、 Get-Item 和 Unblock-File。

注意

下载文件的其他方法可能不会将文件标记为来自 Internet 区域。 示例包括：

• curl.exe
• Invoke-RestMethod
• Invoke-WebRequest

Windows Server Core 和 Window Nano Server 上的执行策略

在某些条件下，在 Windows Server Core 或 Windows Nano Server 上运行 PowerShell 6 时，执行策略可能会失败并出现以下错误：

AuthorizationManager check failed.
At line:1 char:1
+ C:\scriptpath\scriptname.ps1
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : SecurityError: (:) [], PSSecurityException
    + FullyQualifiedErrorId : UnauthorizedAccess

PowerShell 使用 Windows 桌面 shell () explorer.exe 中的 API 来验证脚本文件的区域。 Windows Shell 在 Windows Server Core 和 Windows Nano Server 上不可用。

如果 Windows 桌面外壳不可用或无响应，还可以在任何 Windows 系统上收到此错误。 例如，在登录期间，PowerShell 登录脚本可以在 Windows 桌面准备就绪之前启动执行，从而导致失败。

使用 ByPass 或 AllSigned 的执行策略不需要区域检查，以免出现问题。

请参阅

• about_Environment_Variables
• about_Group_Policy_Settings
• about_Pwsh
• about_Signing
• Get-ExecutionPolicy
• Set-ExecutionPolicy
• Get-Item
• Unblock-File