Enable-WSManCredSSP

Включает проверку подлинности поставщика поддержки безопасности учетных данных (CredSSP) на компьютере.

Синтаксис

Enable-WSManCredSSP
      [[-DelegateComputer] <String[]>]
      [-Force]
      [-Role] <String>
      [<CommonParameters>]

Описание

Этот командлет доступен только на платформе Windows.

Командлет Enable-WSManCredSSP включает проверку подлинности CredSSP на клиенте или на серверном компьютере. При использовании проверки подлинности CredSSP учетные данные пользователя передаются на удаленный компьютер для проверки подлинности. Этот тип проверки подлинности предназначен для команд, создающих удаленный сеанс из другого удаленного сеанса. Например, если вы хотите запустить фоновое задание на удаленном компьютере, используйте такую проверку подлинности.

Enable-WSManCredSSP может включать CredSSP на клиенте или сервере. Чтобы включить CredSSP на клиенте, укажите клиент в параметре Role . Клиенты делегируют явные учетные данные серверу при достижении проверки подлинности сервера. Чтобы включить CredSSP на сервере, укажите сервер в параметре Role . Сервер выступает в качестве делегата для клиентов. Дополнительные сведения см. в разделе "Роль " в разделе "Параметры".

Внимание!

Проверка подлинности CredSSP делегирует учетные данные пользователя с локального компьютера на удаленный компьютер. Это повышает угрозу безопасности при работе в удаленном режиме. Если удаленный компьютер скомпрометирован, то передаваемые на него учетные данные могут быть использованы для управления сетевым сеансом.

Примеры

Пример 1. Делегирование учетных данных клиента

В этом примере учетные данные клиента можно делегировать компьютеру с помощью полного доменного имени.

Enable-WSManCredSSP -Role "Client" -DelegateComputer "Server02.fabrikam.com"

cfg         : http://schemas.microsoft.com/wbem/wsman/1/config/client/auth
lang        : en-US
Basic       : true
Digest      : true
Kerberos    : true
Negotiate   : true
Certificate : true
CredSSP     : true

Пример 2. Делегирование учетных данных клиента всем компьютерам в домене

В этом примере учетные данные клиента можно делегировать всем компьютерам в домене fabrikam.com . Подстановочный знак звездочки (*) указывает все компьютеры.

Примечание

Использование подстановочных знаков с параметром DelegateComputer может включать CredSSP на более компьютерах, чем требуется.

Enable-WSManCredSSP -Role "Client" -DelegateComputer "*.fabrikam.com"

cfg         : http://schemas.microsoft.com/wbem/wsman/1/config/client/auth
lang        : en-US
Basic       : true
Digest      : true
Kerberos    : true
Negotiate   : true
Certificate : true
CredSSP     : true

Пример 3. Делегирование учетных данных клиента нескольким компьютерам

Этот пример позволяет делегировать учетные данные клиента нескольким компьютерам.

$servers = "server02.fabrikam.com", "server03.fabrikam.com", "server04.fabrikam.com"
Enable-WSManCredSSP -Role "Client" -DelegateComputer $servers

cfg         : http://schemas.microsoft.com/wbem/wsman/1/config/client/auth
lang        : en-US
Basic       : true
Digest      : true
Kerberos    : true
Negotiate   : true
Certificate : true
CredSSP     : true

Переменная $servers содержит список имен серверов. Enable-WSManCredSSP использует параметр Role для указания роли клиента . ДелегатComputer получает имена компьютеров из переменной$servers.

Пример 4. Разрешение компьютеру выступать в качестве делегата

Этот пример позволяет компьютеру выступать в качестве делегата для другого. Командлет Enable-WSManCredSSP , показанный в предыдущих примерах, включает только проверку подлинности CredSSP на клиенте и указывает удаленные компьютеры, которые могут действовать от его имени. Чтобы удаленный компьютер выступал в качестве делегата для клиента, для элемента CredSSP в узле службы WSMan должно быть установлено значение true. В этом примере для элемента CredSSP в узле службы WSMan устанавливается значение true.

Enable-WSManCredSSP -Role "Server"

Пример 5. Разрешить компьютеру выступать в качестве делегата с помощью Set-Item

Этот пример позволяет компьютеру выступать в качестве делегата для другого компьютера. Команды Enable-WSManCredSSP , показанные в предыдущих примерах, обеспечивают проверку подлинности CredSSP только на клиентском компьютере и указывают удаленные компьютеры, которые могут действовать от имени клиентского компьютера. Чтобы удаленный компьютер выступал в качестве делегата для клиентского компьютера, для элемента CredSSP в каталоге Service WSMan следует установить значение true.

Connect-WSMan -ComputerName "server02"
Set-Item -Path "WSMan:\server02\service\auth\credSSP" -Value $True

Connect-WSMan создает подключение к удаленному компьютеру server02. Set-Item использует параметр Path для указания расположения поставщика WSMan . Параметр Value задает для параметра service значение true.

Параметры

-DelegateComputer

Указывает серверы, на которые делегируются учетные данные клиента. Рекомендуется использовать полные доменные имена.

Подстановочные знаки принимаются, но могут включать CredSSP на более компьютерах, чем это необходимо.

Если параметр Role имеет значение Client, необходимо указать этот параметр. Если роль является сервером, не указывайте этот параметр.

Type:String[]
Position:1
Default value:None
Accept pipeline input:False
Accept wildcard characters:True

-Force

Принудительное выполнение команды без запроса на подтверждение пользователем.

Type:SwitchParameter
Position:Named
Default value:False
Accept pipeline input:False
Accept wildcard characters:False

-Role

Указывает, следует ли включить CredSSP в качестве клиента или сервера. Допустимые значения для этого параметра: Client и Server.

При указании клиента выполняются следующие действия. Эти параметры позволяют клиенту делегировать явные учетные данные на сервер при выполнении аутентификации сервера.

  • Включает CredSSP на клиенте.
  • Задает для \<localhost|computername\>\Client\Auth\CredSSP параметра WS-Management значение true.
  • Задает для политики Windows CredSSP AllowFreshCredentialsзначение WSMan/Delegate на клиенте.

При указании сервера выполняются следующие действия. Этот параметр политики позволяет серверу выступать в качестве делегата для клиентов.

  • Включает CredSSP на сервере.
  • Задает для \<localhost|computername\>\Service\Auth\CredSSP параметра WS-Management значение true.
Type:String
Accepted values:Client, Server
Position:0
Default value:None
Accept pipeline input:False
Accept wildcard characters:False

Входные данные

None

Этот командлет не принимает входные данные.

Выходные данные

XmlElement

Если проверка подлинности CredSSP успешно включена, этот командлет создает объект XMLElement .

Примечания

Чтобы отключить проверку подлинности CredSSP, используйте Disable-WSManCredSSP командлет.