about_Execution_Policies

Rövid leírás

Ismerteti a PowerShell végrehajtási szabályzatokat, és ismerteti azok kezelését.

Hosszú leírás

A PowerShell végrehajtási szabályzata egy biztonsági funkció, amely szabályozza, hogy a PowerShell milyen feltételek mellett tölt be konfigurációs fájlokat, és parancsfájlokat futtat. Ez a funkció segít megakadályozni a rosszindulatú szkriptek végrehajtását.

Windows rendszerű számítógépen beállíthat végrehajtási szabályzatot a helyi számítógéphez, az aktuális felhasználóhoz vagy egy adott munkamenethez. Csoportházirend-beállítással is beállíthat végrehajtási szabályzatokat számítógépekre és felhasználókra.

A helyi számítógép és az aktuális felhasználó végrehajtási szabályzatai a PowerShell konfigurációs fájljaiban vannak tárolva. A PowerShell-profilban nem kell végrehajtási szabályzatokat beállítania. Egy adott munkamenet végrehajtási szabályzata csak a memóriában van tárolva, és a munkamenet bezárásakor elveszik.

A végrehajtási szabályzat nem biztonsági határ, hanem mélységi védelem. A felhasználók például egyszerűen megkerülhetnek egy szabályzatot úgy, hogy begépelik a szkript tartalmát a parancssorba, ha nem tudnak parancsfájlt futtatni. Ehelyett a végrehajtási szabályzat segít a felhasználóknak alapszintű szabályokat beállítani, és meggátolni őket abban, hogy véletlenül megsértse őket.

A biztonsági határokkal kapcsolatos további információkért tekintse meg a PowerShell biztonsági funkcióinak Biztonsági szolgáltatás feltételei című szakaszát.

A nem Windows számítógépeken az alapértelmezett végrehajtási szabályzat nem Unrestricted módosítható és nem módosítható. A Set-ExecutionPolicy parancsmag elérhető, de a PowerShell egy konzolüzenetet jelenít meg, amely nem támogatott. Bár Get-ExecutionPolicy nem Windows platformokon tér visszaUnrestricted, a viselkedés valóban egyezikBypass, mivel ezek a platformok nem implementálják a Windows Biztonság zónákat.

PowerShell-végrehajtási szabályzatok

Ezeknek a szabályzatoknak a érvényesítése csak Windows-platformokon történik. A PowerShell végrehajtási szabályzatai a következők:

  • AllSigned

    • A szkriptek futtathatók.
    • Megköveteli, hogy az összes szkriptet és konfigurációs fájlt megbízható közzétevő írja alá, beleértve a helyi számítógépen írt szkripteket is.
    • Kéri, hogy kérjen megerősítést, mielőtt olyan kiadóktól származó szkripteket futtatna, akiket még nem minősített megbízhatónak vagy nem megbízhatónak.
    • Aláírt, de rosszindulatú szkriptek futtatása kockázatokat rejt.

  • Bypass

    • Semmi sem blokkolva, és nincsenek figyelmeztetések vagy kérések.
    • Ez a végrehajtási szabályzat olyan konfigurációkhoz készült, amelyekben egy PowerShell-szkript egy nagyobb alkalmazásba van beépítve, vagy olyan konfigurációkhoz, amelyekben a PowerShell egy saját biztonsági modellel rendelkező program alapja.

  • Default

    • Beállítja az alapértelmezett végrehajtási szabályzatot.
    • RemoteSigned Windows-ügyfelekhez és kiszolgálókhoz.

  • RemoteSigned

    • A Windows rendszerű számítógépek alapértelmezett végrehajtási szabályzata.
    • A szkriptek futtathatók.
    • Digitális aláírást igényel egy megbízható közzétevőtől az internetről letöltött szkripteken és konfigurációs fájlokon, beleértve az e-maileket és a csevegőprogramokat.
    • Nem igényel digitális aláírást a helyi számítógépen írt és az internetről nem letöltött szkripteken.
    • Futtatja az internetről letöltött és nem aláírt szkripteket, ha a szkriptek nincsenek letiltva, például a Unblock-File parancsmag használatával.
    • Azzal a kockázattal jár, hogy nem aláírt szkripteket futtat az internettől eltérő forrásokból, és olyan aláírt szkripteket, amelyek rosszindulatúak lehetnek.

  • Restricted

    • Engedélyezi az egyes parancsokat, de nem engedélyezi a szkripteket.
    • Megakadályozza az összes szkriptfájl futtatását, beleértve a formázást és a konfigurációs fájlokat (.ps1xml), a modulszkriptfájlokat (.psm1) és a PowerShell-profilokat (.ps1).

  • Undefined

    • Az aktuális hatókörben nincs végrehajtási szabályzat beállítva.
    • Ha a végrehajtási szabályzat minden hatókörben Undefined, akkor a hatályos végrehajtási szabályzat a Windows ügyfelek esetében Restricted, és a Windows Server esetén RemoteSigned.

  • Unrestricted

    • A nem Windows számítógépek alapértelmezett végrehajtási szabályzata, és nem módosítható.
    • Az aláíratlan szkriptek futtathatók. Fennáll a veszélye annak, hogy rosszindulatú szkripteket futtat.
    • Figyelmezteti a felhasználót, mielőtt olyan szkripteket és konfigurációs fájlokat futtatna, amelyek nem a helyi intranetzónából származnak.

    Jegyzet

    Az olyan rendszereken, amelyek nem különböztetik meg az univerzális elnevezési egyezmény (UNC) elérési útját az internetes útvonalaktól, előfordulhat, hogy az UNC-útvonal által azonosított szkriptek nem futtathatók a RemoteSigned végrehajtási házirenddel.

Végrehajtási szabályzat hatóköre és elsőbbsége

Olyan végrehajtási szabályzatot állíthat be, amely csak egy adott hatókörben érvényes. A paraméter a következő értékeket fogadja el:

  • MachinePolicy – Csoportházirend szerint állítva a számítógép összes felhasználója számára
  • UserPolicy – Csoportházirend szerint állítja be a számítógép aktuális felhasználóját
  • Process – Csak az aktuális PowerShell-munkamenetet érinti
  • CurrentUser – Csak az aktuális felhasználót érinti
  • LocalMachine - Default a számítógép összes felhasználóját érintő hatókör

Jegyzet

MachinePolicy és UserPolicy csoportházirendek szerint vannak beállítva. Ha a hatókört ezen értékek valamelyikére próbálja beállítani, a PowerShell hibaüzenetet jelenít meg arról, hogy a hatókört csoportházirend állítja be, és nem módosítható.

Ha a végrehajtási szabályzatot nem csoportházirend határozza meg, a tényleges végrehajtási szabályzatot az alábbi sorrend határozza meg:

  • Process - A legmagasabb prioritás. A Process hatókör csak az aktuális PowerShell-munkamenetre van hatással. A végrehajtási szabályzat a beállításjegyzék helyett a környezeti változóba $Env:PSExecutionPolicyPreferencelesz mentve. A PowerShell-munkamenet bezárásakor a változó és az érték törlődik.
  • CurrentUser - A második legmagasabb prioritás. A beállítás a felhasználóspecifikus powershell.config.json fájlban van tárolva.
  • LocalMachine - A legalacsonyabb elsőbbséget. A beállítás a $PSHOME/powershell.config.json fájlban van tárolva.

További információ a fájlról: powershell.config.jsonabout_PowerShell_Config.

Végrehajtási szabályzat kezelése a PowerShell-lel

Az aktuális PowerShell-munkamenet érvényes végrehajtási szabályzatának lekéréséhez használja a Get-ExecutionPolicy parancsmagot.

A következő parancs lekéri az érvényes végrehajtási szabályzatot:

Get-ExecutionPolicy

Az aktuális munkamenetet érintő összes végrehajtási szabályzat lekérése és sorrendben való megjelenítése:

Get-ExecutionPolicy -List

Az eredmény a következő mintakimenethez hasonlóan néz ki:

        Scope ExecutionPolicy
        ----- ---------------
MachinePolicy       Undefined
   UserPolicy       Undefined
      Process       Undefined
  CurrentUser    RemoteSigned
 LocalMachine       AllSigned

Ebben az esetben a tényleges végrehajtási szabályzat RemoteSigned, mivel az aktuális felhasználó végrehajtási szabályzata elsőbbséget élvez a helyi számítógép végrehajtási szabályzatával szemben.

Az adott hatókör végrehajtási politikájának lekéréséhez használja a ScopeGet-ExecutionPolicy paraméterét.

A következő parancs például lekéri a végrehajtási házirendet a CurrentUser hatókörhöz:

Get-ExecutionPolicy -Scope CurrentUser

A végrehajtási szabályzat módosítása

A PowerShell végrehajtási házirendjének windowsos számítógépen való módosításához használja a Set-ExecutionPolicy parancsmagot. A módosítás azonnal hatályba lép. Nem kell újraindítania a PowerShellt.

Ha a LocalMachine vagy a CurrentUserhatóköreinek végrehajtási szabályzatát állítja be, a rendszer menti a módosítást a konfigurációs fájlba, és addig marad érvényben, amíg újra nem módosítja.

Ha a Process hatókör végrehajtási szabályzatát állítja be, az nem lesz mentve a konfigurációs fájlba. A végrehajtási szabályzat az aktuális folyamat és a gyermekfolyamatok bezárásáig megmarad.

Jegyzet

A Windows Vista és a Windows újabb verzióiban a helyi számítógép végrehajtási szabályzatának módosításához LocalMachine hatókörrel indítsa el a PowerShellt a Futtatás rendszergazdaként beállítással.

A végrehajtási szabályzat módosítása:

Set-ExecutionPolicy -ExecutionPolicy <PolicyName>

Például:

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

A végrehajtási szabályzat beállítása egy adott hatókörben:

Set-ExecutionPolicy -ExecutionPolicy <PolicyName> -Scope <scope>

Például:

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

A végrehajtási szabályzat módosítására szolgáló parancsok sikeresek lehetnek, de még mindig nem módosítják a tényleges végrehajtási szabályzatot.

A helyi számítógép végrehajtási szabályzatát meghatározó parancsok például sikeresek lehetnek, de felül kell bírálni az aktuális felhasználó végrehajtási szabályzatát.

A végrehajtási szabályzat eltávolítása

Ha el szeretné távolítani egy adott hatókör végrehajtási szabályzatát, állítsa a végrehajtási szabályzatot Undefined.

Például a végrehajtási szabályzat eltávolítása a helyi számítógép összes felhasználója számára:

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope LocalMachine

Egy Scopevégrehajtási szabályzatának eltávolítása:

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope CurrentUser

Ha nincs végrehajtási szabályzat beállítva semmilyen hatókörben, akkor a tényleges végrehajtási szabályzat Restricted, amely a Windows-ügyfelek esetében az alapértelmezett.

Másik szabályzat beállítása egy munkamenethez

A pwsh.exe paraméterével végrehajtási szabályzatot állíthat be egy új PowerShell-munkamenethez. A szabályzat csak az aktuális munkamenetet és a gyermek munkameneteket érinti.

Ha egy új munkamenet végrehajtási szabályzatát szeretné beállítani, indítsa el a PowerShellt a parancssorban( például cmd.exe vagy a PowerShellből), majd a pwsh.exe paraméterével állítsa be a végrehajtási szabályzatot.

Például:

pwsh.exe -ExecutionPolicy AllSigned

A beállított végrehajtási szabályzat nem a konfigurációs fájlban van tárolva. Ehelyett a $Env:PSExecutionPolicyPreference környezeti változó tárolja. A változó törlődik, amikor bezárja azt a munkamenetet, amelyben a szabályzat be van állítva. A változó értékének szerkesztésével nem módosíthatja a szabályzatot.

A munkamenet során a munkamenethez beállított végrehajtási szabályzat elsőbbséget élvez a helyi számítógép vagy az aktuális felhasználó konfigurációs fájljában beállított végrehajtási szabályzattal szemben. Ez azonban nem elsőbbséget élvez a csoportházirend használatával beállított végrehajtási szabályzattal szemben.

Végrehajtási szabályzat kezelése csoportházirend használatával

A Parancsprogram-végrehajtás bekapcsolása csoportházirend beállítással kezelheti a vállalat számítógépeinek végrehajtási házirendjét. A csoportházirend-beállítás minden hatókörben felülbírálja a PowerShellben beállított végrehajtási szabályzatokat.

A Szkriptek végrehajtásának bekapcsolása házirend-beállítások a következők:

  • Ha letiltja a Parancsfájl-végrehajtás bekapcsolása beállítást, a szkriptek nem futnak. Ez egyenértékű a Restricted végrehajtási szabályzatával.

  • Ha engedélyezi a szkriptvégrehajtásibekapcsolását, kiválaszthatja a végrehajtási szabályzatot. A csoportházirend-beállítások egyenértékűek a következő végrehajtási házirend-beállításokkal:

    Csoportházirend Végrehajtási szabályzat
    Az összes szkript engedélyezése Unrestricted
    Helyi szkriptek és távoli aláírt szkriptek engedélyezése RemoteSigned
    Csak aláírt szkriptek engedélyezése AllSigned

  • Ha a Parancsfájl-végrehajtás bekapcsolása nincs konfigurálva, nincs hatása a működésre. A PowerShellben beállított végrehajtási szabályzat érvényes.

A PowerShellCoreExecutionPolicy.adm fájlok és PowerShellCoreExecutionPolicy.admx fájlok a következő elérési úton adhatja hozzá a Szkriptvégrehajtás bekapcsolása házirendet a Csoportházirend-szerkesztő számítógépkonfigurációs és felhasználói konfigurációs csomópontjaihoz:

Administrative Templates\Windows Components\Windows PowerShell

A Számítógép-konfiguráció csomópontban beállított házirendek elsőbbséget élveznek a Felhasználói konfiguráció csomópontban beállított házirendekkel szemben.

További információ: about_Group_Policy_Settings.

Aláírt és aláíratlan szkriptek kezelése

Windows rendszerben az Internet Explorerhez és a Microsoft Edge-hez hasonló programok alternatív adatfolyamot adnak a letöltött fájlokhoz. Ez a fájl "internetről származónak" van megjelölve. Ha a PowerShell végrehajtási szabályzata RemoteSigned, a PowerShell nem fog aláíratlan szkripteket futtatni, amelyeket az internetről tölt le, beleértve az e-maileket és a csevegőprogramokat.

Aláírhatja a szkriptet, vagy dönthet úgy, hogy aláíratlan szkriptet futtat a végrehajtási szabályzat módosítása nélkül.

A PowerShell 3.0-tól kezdve a parancsmag Get-Item paraméterével észlelheti az internetről letöltött fájlok blokkolását. A Unblock-File parancsmaggal feloldhatja a szkriptek letiltását, hogy a PowerShellben futtathassa őket.

További információ: about_Signing, Get-Itemés A fájlblokkok feloldása.

Jegyzet

Előfordulhat, hogy a fájlok letöltésének egyéb módszerei nem jelölik meg a fájlokat az internetzónából érkezőként. Néhány példa:

  • curl.exe
  • Invoke-RestMethod
  • Invoke-WebRequest

Végrehajtási szabályzat a Windows Server Core-on és a Windows Nano Serveren

Ha a PowerShell 6 a Windows Server Core-on vagy a Windows Nano Serveren fut bizonyos feltételek mellett, a végrehajtási szabályzatok a következő hibával hiúsulhatnak meg:

AuthorizationManager check failed.
At line:1 char:1
+ C:\scriptpath\scriptname.ps1
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : SecurityError: (:) [], PSSecurityException
    + FullyQualifiedErrorId : UnauthorizedAccess

A PowerShell api-kat használ a Windows Desktop Shellben (explorer.exe) egy szkriptfájl zónájának ellenőrzéséhez. A Windows Shell nem érhető el Windows Server Core és Windows Nano Server rendszeren.

Ezt a hibát bármely Windows rendszeren is megkaphatja, ha a Windows Desktop Shell nem érhető el vagy nem válaszol. A bejelentkezés során például egy PowerShell-bejelentkezési szkript még a Windows Desktop elkészülte előtt megkezdheti a végrehajtást, ami sikertelenséget eredményez.

A ByPass vagy az AllSigned végrehajtási szabályzatának használata nem igényel zónaellenőrzést, amely elkerüli a problémát.

Lásd még

  • Last updated on