Поделиться через

Проверка надежности файла конфигурации WinGet

Перед запуском файла конфигурации WinGet рекомендуется просмотреть и оценить каждый ресурс, указанный в файле, гарантируя, что вы полностью знаете, что установлено, изменено или применено к операционной системе, и что оно поступает из надежного и безопасного источника.

Дополнительные сведения об использовании команды настройки WinGet.

Уведомления и одобрения по безопасности

Перед запуском конфигурации пользователю предлагается (если они явно не указали параметр принятия соглашения о конфигурации) проверить и подтвердить свою ответственность за верификацию конфигурации.

Из-за преимущества автоматической установки, которое включает файлы конфигурации WinGet, количество явных уведомлений об установке и утверждений значительно сокращается. Вместо этого для использования файла конфигурации WinGet требуется тщательная проверка безопасности файла перед запуском конфигурации с помощью команды winget configure. Вы несете ответственность за проверку каждого пакета, который будет установлен, и каждый модуль PowerShell Desired State Configuration (DSC), который будет использоваться для обеспечения того, что он поступает из надежного источника.

Помните, что:

  • Пользователи, которые запускают конфигурацию через winget configure в административной оболочке, не будут получать запросы на подтверждение изменений в системе, выполненных с административными правами.

  • Пользователи, которые запускают конфигурацию с помощью winget configure в контексте пользователя, могут получать только один запрос на управление учетными записями пользователей (UAC) для всей конфигурации.

Просмотр ресурсов конфигурации

Конфигурация WinGet использует PowerShell DSC для применения конфигурации к системе пользователей. Файл конфигурации указывает, какие ресурсы PowerShell DSC будут использоваться для применения требуемого состояния. Перед выполнением файла конфигурации необходимо проверить каждый ресурс DSC.

Чтобы просмотреть ресурсы PowerShell DSC, выполните следующие действия.

  • Командлет PowerShell Get-PSRepository можно использовать для просмотра настроенных репозиториев и определения источника ресурсов перед выполнением файла.

При просмотре ресурсов конфигурации следует учитывать следующее:

  • ресурсы PowerShell DSC можно настроить для выполнения любого произвольного кода, включая, но не ограничивается извлечением и выполнением дополнительных ресурсов DSC и двоичных файлов на локальном компьютере. Это требует тщательной проверки целостности ресурса и доверия издателя. Например, ресурс скрипта DSC предоставляет механизм для запуска блоков скриптов Windows PowerShell на целевых узлах с использованием скриптов Get, Set и Test. Не запускайте ресурсы скриптов из ненадежных издателей, не просматривая содержимое скриптов.

  • Галерея PowerShell — это центральный репозиторий для обнаружения, обмена и получения модулей PowerShell, скриптов и ресурсов DSC. Этот репозиторий не проверен корпорацией Майкрософт и содержит ресурсы из различных авторов и издателей, которые по умолчанию не должны доверять. Каждый пакет имеет определенную страницу в Галерее с связанными метаданными. Поле Owner строго привязано к учетной записи Галереи (более надежно, чем поле "Автор"). Если вы обнаружите пакет, который, по вашему мнению, опубликован недобросовестно, выберите "Сообщить о злоупотреблении" на странице этого пакета. Узнайте больше о галерее PowerShell.

Тестовые файлы конфигурации

Мы рекомендуем протестировать все файлы конфигурации WinGet в чистой и изолированной среде. Ниже приведены некоторые варианты тестирования:

  • Last updated on