Установка и настройка удаленного управления Windows

  • Статья

Для выполнения скриптов удаленного управления Windows (WinRM) и для выполнения операций с данными с помощью программы командной строки Winrm необходимо установить и настроить WinRM.

Эти элементы также зависят от конфигурации WinRM.

Расположение установки WinRM

WinRM автоматически устанавливается со всеми поддерживаемыми в настоящее время версиями операционной системы Windows.

Настройка WinRM и IPMI

Эти компоненты поставщика WMI WinRM и интеллектуального интерфейса управления платформой (IPMI) устанавливаются вместе с операционной системой.

  • Служба WinRM автоматически запускается в Windows Server 2008 и более поздних версиях. В более ранних версиях Windows (клиент или сервер) необходимо запустить службу вручную.
  • По умолчанию прослушиватель WinRM не настроен. Даже если служба WinRM запущена, WS-Management сообщения протокола, запрашивающие данные, не могут быть получены или отправлены.
  • Брандмауэр подключения к Интернету (ICF) блокирует доступ к портам.

Используйте команду , winrm чтобы найти прослушиватели и адреса, введя следующую команду в командной строке.

winrm enumerate winrm/config/listener

Чтобы проверить состояние параметров конфигурации, введите следующую команду.

winrm get winrm/config

Быстрая настройка по умолчанию

Включите протокол WS-Management на локальном компьютере и настройте конфигурацию по умолчанию для удаленного управления с помощью команды winrm quickconfig.

Команда winrm quickconfig (которая может быть сокращена до winrm qc) выполняет следующие операции:

  • Запускает службу WinRM и задает автоматический запуск службы.
  • Настраивает прослушиватель для портов, которые отправляют и получают сообщения WS-Management протокола, используя протокол HTTP или HTTPS на любом IP-адресе.
  • Определяет исключения ICF для службы WinRM и открывает порты для HTTP и HTTPS.

Примечание

Команда winrm quickconfig создает исключение брандмауэра только для текущего профиля пользователя. Если профиль брандмауэра по какой-либо причине изменен, выполните команду winrm quickconfig , чтобы включить исключение брандмауэра для нового профиля (в противном случае исключение может не быть включено).

Чтобы получить сведения о настройке конфигурации, введите следующую команду в командной строке.

winrm help config

Настройка WinRM с параметрами по умолчанию

  1. В командной строке от имени учетной записи администратора локального компьютера выполните следующую команду:

    winrm quickconfig

    Если вы не работаете от имени администратора локального компьютера, выберите в меню Пускпункт Запуск от имени администратора или используйте Runas команду в командной строке.

  2. Когда в средстве появится окно Внести эти изменения [y/n]?, введите y.

    Если настройка выполнена успешно, отображаются следующие выходные данные.

    WinRM has been updated for remote management.

WinRM service type changed to delayed auto start.
WinRM service started.
Created a WinRM listener on https://* to accept WS-Man requests to any IP on this machine.

  3. Сохраните параметры по умолчанию для клиентских и серверных компонентов WinRM или настройте их. Например, может потребоваться добавить определенные удаленные компьютеры в список конфигурации TrustedHosts клиента.

    Настройте список доверенных узлов, если не удается установить взаимную проверку подлинности. Kerberos разрешает взаимную проверку подлинности, но ее нельзя использовать в рабочих группах; только домены. При настройке доверенных узлов для рабочей группы рекомендуется сделать список максимально ограниченным.

  4. Создайте прослушиватель HTTPS, введя следующую команду:

    winrm quickconfig -transport:https

    Примечание

    Откройте порт 5986 для работы транспорта HTTPS.

Параметры прослушивателя и протокола WS-Management по умолчанию

Чтобы получить конфигурацию прослушивателя, введите winrm enumerate winrm/config/listener в командной строке. Прослушиватели определяются транспортом (HTTP или HTTPS) и адресом IPv4 или IPv6.

Команда winrm quickconfig создает следующие параметры по умолчанию для прослушивателя. Вы можете создать несколько прослушивателя. Для получения дополнительных сведений введите winrm help config в командной строке.

Адрес

Указывает адрес, для которого создается прослушиватель.

Транспорт

Указывает транспорт для отправки и получения запросов и ответов протокола WS-Management. Значение должно иметь значение HTTP или HTTPS. Значение по умолчанию — HTTP.

Порт

Задает TCP-порт, для которого создается данный прослушиватель.

WinRM 2.0: http-порт по умолчанию — 5985.

Hostname (Имя узла)

Указывает имя узла компьютера, на котором выполняется служба WinRM. Значение должно быть: полное доменное имя; строка литерала IPv4 или IPv6; или подстановочный знак.

Активировано

Указывает, включен или отключен прослушиватель. По умолчанию используется значение True.

URLPrefix

Указывает префикс URL-адреса, по которому принимаются HTTP- или HTTPS-запросы. Эта строка содержит только символы a–z, A–Z, 9–0, подчеркивание (_) и косая черта (/). Строка не должна начинаться с или заканчиваться косой чертой (/). Например, если имя компьютера — SampleMachine, клиент WinRM будет указывать https://SampleMachine/<URLPrefix> в целевом адресе. Префикс URL-адреса по умолчанию — wsman.

CertificateThumbprint

Указывает отпечаток сертификата службы. Это значение представляет собой строку из двухзначных шестнадцатеричных значений, найденных в поле Отпечаток сертификата. Эта строка содержит хэш SHA-1 сертификата. Сертификаты используются при проверке подлинности на основе сертификата клиента. Сертификаты можно сопоставить только с локальными учетными записями пользователей. Они не работают с учетными записями домена.

ListeningOn

Указывает адреса IPv4 и IPv6, которые использует прослушиватель. Например: 111.0.0.1, 111.222.333.444, ::1, 1000:2000:2c:3:c19:9ec8:a715:5e24, 3ffe:8311:ffff:f70f:0:5efe:111.222.333.444, fe80::5efe:111.222.333.444%8, fe80::c19:9ec8:a715:5e24%6.

Параметры протокола по умолчанию

Многие параметры конфигурации, такие как MaxEnvelopeSizekb или SoapTraceEnabled, определяют, как компоненты клиента и сервера WinRM взаимодействуют с протоколом WS-Management. В следующих разделах описываются доступные параметры конфигурации.

MaxEnvelopeSizekb

Задает максимальное количество данных SOAP в килобайтах. Значение по умолчанию — 150 килобайт.

Примечание

Поведение не поддерживается, если maxEnvelopeSizekb имеет значение больше 1039440.

MaxTimeoutms

Задает максимальное время ожидания в миллисекундах, которое можно использовать для любого запроса, отличного от Pull запросов. Значение по умолчанию — 60 000.

MaxBatchItems

Задает максимальное количество элементов, которые можно использовать в ответе Pull . Значение по умолчанию — 32000.

MaxProviderRequests

Задает максимальное количество одновременных запросов, допускаемое службой. Значение по умолчанию — 25.

WinRM 2.0: этот параметр не рекомендуется использовать и доступен только для чтения.

Параметры конфигурации клиента WinRM по умолчанию

Клиентская версия WinRM имеет следующие параметры конфигурации по умолчанию.

NetworkDelayms

Задает дополнительное время ожидания клиента в миллисекундах для поправки на сетевую задержку. Значение по умолчанию — 5000 миллисекунда.

URLPrefix

Указывает префикс URL-адреса, по которому принимаются HTTP- или HTTPS-запросы. Префикс URL-адреса по умолчанию — wsman.

AllowUnencrypted

Позволяет клиентскому компьютеру запрашивать передачу данных в незашифрованном виде. По умолчанию клиентскому компьютеру требуется зашифрованный сетевой трафик, и этот параметр имеет значение False.

Basic

Позволяет клиентскому компьютеру использовать обычную проверку подлинности. При использовании обычной проверки подлинности имя пользователя и пароль передаются серверу или прокси-серверу открытым текстом. Эта схема является наименее безопасным методом проверки подлинности. Значение по умолчанию равно True.

Digest (дайджест)

Позволяет клиентскому компьютеру использовать дайджест-проверку подлинности. Дайджест-проверка подлинности проводится по принципу "запрос-ответ". В качестве запроса поступает строка данных, указанная сервером. Инициировать запрос дайджест-проверки подлинности может только клиентский компьютер.

Клиентский компьютер отправляет серверу запрос на проверку подлинности и получает от сервера строку маркера. Затем клиентский компьютер отправляет запрос ресурса, включая имя пользователя и криптографический хэш пароля в сочетании со строкой маркера.

Дайджест-проверка подлинности поддерживается для HTTP и для HTTPS. Клиентские скрипты и приложения Оболочки WinRM могут указывать дайджест-проверку подлинности, но служба WinRM не принимает дайджест-проверку подлинности. Значение по умолчанию — True.

Примечание

Дайджест-проверка подлинности по протоколу HTTP не считается безопасной.

Сертификат

Позволяет клиенту использовать проверку подлинности на основе сертификата клиента. Проверка подлинности на основе сертификата — это схема, в которой сервер проверяет подлинность клиента, определенного сертификатом X509. Значение по умолчанию равно True.

Kerberos

Позволяет клиентскому компьютеру использовать проверку подлинности Kerberos. Проверка подлинности Kerberos подразумевает взаимную проверку подлинности клиента и сервера с использованием сертификатов Kerberos. Значение по умолчанию равно True.

Согласование

Позволяет клиенту использовать проверку подлинности Negotiate . При проверке подлинности с согласованием клиент отправляет серверу запрос на проверку подлинности.

Сервер определяет, следует ли использовать протокол Kerberos или NT LAN Manager (NTLM). Для проверки подлинности учетной записи домена выбран протокол Kerberos. Для учетных записей локальных компьютеров выбирается NTLM. Имя пользователя должно быть указано в формате домен\user_name для пользователя домена. Имя пользователя должно быть указано в формате server_name\user_name для локального пользователя на серверном компьютере. Значение по умолчанию — True.

CredSSP

Позволяет клиенту использовать проверку подлинности поставщика поддержки безопасности учетных данных (CredSSP). CredSSP позволяет приложению делегировать учетные данные пользователя с клиентского компьютера на целевой сервер. Значение по умолчанию — False.

DefaultPorts

Указывает порты, используемые клиентом для HTTP или HTTPS.

WinRM 2.0: http-порт по умолчанию — 5985, а порт HTTPS по умолчанию — 5986.

TrustedHosts

Указывает список удаленных компьютеров, которые являются доверенными. В этот список следует добавить другие компьютеры в рабочей группе или компьютеры в другом домене.

Примечание

Компьютеры в списке доверенных узлов не проходят проверку подлинности. Клиент может отправлять учетные данные на эти компьютеры.

Если для доверенного узла указан IPv6-адрес, он должен быть заключен в квадратные скобки, как показано в следующей Winrm команде служебной программы:

winrm set winrm/config/client '@{TrustedHosts ="[0:0:0:0:0:0:0:0]"}'

Для получения дополнительных сведений о добавлении компьютеров в список введите TrustedHostswinrm help config.

Параметры конфигурации службы WinRM по умолчанию

Версия службы WinRM имеет следующие параметры конфигурации по умолчанию.

RootSDDL

Указывает дескриптор безопасности, который управляет удаленным доступом к прослушивателю. Значение по умолчанию — O:NSG:BAD:P(A;;GA;;;BA)(A;;GR;;;ER)S:P(AU;FA;GA;;;WD)(AU;SA;GWGX;;;WD).

MaxConcurrentOperations

Максимальное количество параллельных операций. Значение по умолчанию — 100.

WinRM 2.0: параметр MaxConcurrentOperations является нерекомендуемым и доступен только для чтения. Этот параметр был заменен на MaxConcurrentOperationsPerUser.

MaxConcurrentOperationsPerUser

Указывает максимальное количество параллельных операций, которые любой пользователь может удаленно открыть в одной системе. Значение по умолчанию — 1500.

EnumerationTimeoutms

Указывает время ожидания простоя в миллисекундах между Pull сообщениями. Значение по умолчанию — 60 000.

MaxConnections

Указывает максимальное количество активных запросов, которые служба может обрабатывать одновременно. Значение по умолчанию — 300.

WinRM 2.0: по умолчанию — 25.

MaxPacketRetrievalTimeSeconds

Указывает максимальное время в секундах, которое служба WinRM занимает для получения пакета. Значение по умолчанию — 120 секунд.

AllowUnencrypted

Позволяет клиентскому компьютеру запрашивать передачу данных в незашифрованном виде. Значение по умолчанию — False.

Basic

Позволяет службе WinRM использовать обычную проверку подлинности. Значение по умолчанию — False.

Сертификат

Позволяет службе WinRM использовать проверку подлинности на основе сертификата клиента. Значение по умолчанию — False.

Kerberos

Позволяет службе WinRM использовать проверку подлинности Kerberos. Значение по умолчанию — True.

Согласование

Позволяет службе WinRM использовать проверку подлинности Negotiate. Значение по умолчанию — True.

CredSSP

Позволяет службе WinRM использовать проверку подлинности поставщика поддержки безопасности учетных данных (CredSSP). Значение по умолчанию — False.

CbtHardeningLevel

Задает политику относительно требований к токенам привязки канала в запросах проверки подлинности. Значение по умолчанию — Relaxed.

DefaultPorts

Указывает порты, используемые службой WinRM для HTTP или HTTPS.

WinRM 2.0: http-порт по умолчанию — 5985. Порт HTTPS по умолчанию — 5986.

IPv4Filter и IPv6Filter

Указывает адреса IPv4 или IPv6, которые могут использоваться прослушивателями. По умолчанию используются IPv4Filter = * значения и IPv6Filter = *.

  • IPv4: строка-литерал IPv4 состоит из четырех пунктирных десятичных чисел, каждое из которых в диапазоне от 0 до 255. Например: 192.168.0.0.
  • IPv6. Строка литерала IPv6 заключена в квадратные скобки и содержит шестнадцатеричные числа, разделенные двоеточием. Например: [::1] или [3ffe:ffff::6ECB:0101].

EnableCompatibilityHttpListener

Указывает, включен ли прослушиватель HTTP совместимости. Если этот параметр имеет значение True, прослушиватель прослушивает порт 80 в дополнение к порту 5985. Значение по умолчанию — False.

EnableCompatibilityHttpsListener

Указывает, включен ли прослушиватель HTTPS совместимости. Если этот параметр имеет значение True, прослушиватель прослушивает порт 443 в дополнение к порту 5986. Значение по умолчанию — False.

Параметры конфигурации Winrs по умолчанию

Команда winrm quickconfig также настраивает параметры Winrs по умолчанию.

AllowRemoteShellAccess

Разрешает доступ к удаленным оболочкам. Если для этого параметра задано значение False, сервер отклоняет новые подключения к удаленной оболочке сервера. Значение по умолчанию — True.

IdleTimeout

Указывает максимальное время в миллисекундах, когда удаленная оболочка остается открытой, когда в удаленной оболочке нет действий пользователя. Удаленная оболочка удаляется по истечении этого времени.

WinRM 2.0: по умолчанию — 180000. Минимальное значение — 60 000. Установка этого значения ниже 60 000 не влияет на поведение времени ожидания.

MaxConcurrentUsers

Задает максимальное количество пользователей, могущих одновременно выполнять удаленные операции на одном и том же компьютере через удаленную оболочку. Если новые подключения удаленной оболочки превышают ограничение, компьютер отклоняет их. Значение по умолчанию — 5.

MaxShellRunTime

Указывает максимальное время выполнения удаленной команды или скрипта в миллисекундах. Значение по умолчанию — 28800000.

WinRM 2.0: MaxShellRunTime для параметра задано значение только для чтения. Изменение значения для MaxShellRunTime не влияет на удаленные оболочки.

MaxProcessesPerShell

Задает максимальное количество процессов, которое разрешается запускать любой операции оболочки. 0 означает неограниченное количество процессов. Значение по умолчанию — 15.

MaxMemoryPerShellMB

Указывает максимальный объем памяти, выделенной для каждой оболочки, включая дочерние процессы оболочки. Значение по умолчанию — 150 МБ.

MaxShellsPerUser

Задает максимальное число одновременно существующих оболочек, которые пользователь может одновременно открыть на одном компьютере. Если этот параметр политики включен, пользователь не сможет открывать новые удаленные оболочки, если количество превышает указанное ограничение. Если этот параметр политики отключен или не настроен, по умолчанию устанавливается ограничение в пять удаленных оболочек на пользователя.

Настройка WinRM с помощью групповая политика

Используйте редактор групповая политика для настройки удаленной оболочки Windows и WinRM для компьютеров на предприятии.

Чтобы настроить с помощью групповая политика, выполните следующие действия.

  1. Откройте окно командной строки с правами администратора.
  2. В командной строке введите gpedit.msc. Откроется окно редактора объектов групповая политика.
  3. Найдите объекты удаленного управления Windows и удаленной оболочки Windows групповая политика в разделе Конфигурация компьютера\Административные шаблоны\Компоненты Windows.
  4. На вкладке Расширенный выберите параметр, чтобы просмотреть описание. Дважды щелкните параметр, чтобы изменить его.

Порты брандмауэра Windows и WinRM 2.0

Начиная с Версии WinRM 2.0, портами прослушивателя по умолчанию, настроенными Winrm quickconfig , являются порт 5985 для транспорта HTTP и порт 5986 для HTTPS. Прослушиватели WinRM можно настроить на любом произвольном порту.

При обновлении компьютера до WinRM 2.0 ранее настроенные прослушиватели переносятся и по-прежнему получают трафик.

Заметки об установке и конфигурации WinRM

WinRM не зависит от любой другой службы, кроме WinHttp. Если служба IIS Администратор установлена на том же компьютере, могут появиться сообщения о том, что winRM не может быть загружен до служб IIS. Однако WinRM на самом деле не зависит от СЛУЖБ IIS. Эти сообщения возникают потому, что порядок загрузки гарантирует, что служба IIS запускается до службы HTTP. Для WinRM требуется, чтобы WinHTTP.dll он был зарегистрирован.

Если на компьютере установлен клиент брандмауэра ISA2004, это может привести к тому, что клиент веб-служб для управления (WS-Management) перестанет отвечать на запросы. Чтобы избежать этой проблемы, установите брандмауэр ISA2004 с пакетом обновления 1 (SP1).

Если две службы прослушивателя с разными IP-адресами настроены с одинаковым номером порта и именем компьютера, winRM прослушивает или получает сообщения только по одному адресу. Этот подход используется потому, что префиксы URL-адресов, используемые протоколом WS-Management, совпадают.

Заметки об установке драйвера IPMI и поставщика

Драйвер может не обнаружить наличие драйверов IPMI, которые не от корпорации Майкрософт. Если драйвер не запускается, его может потребоваться отключить.

Если ресурсы контроллера управления основной платой (BMC) отображаются в BIOS системы, ACPI (Plug and Play) обнаруживает оборудование BMC и автоматически устанавливает драйвер IPMI. Plug and Play поддержка может присутствовать не во всех контроллерах BBM. Если контроллер BMC обнаружен Plug and Play, то перед установкой компонента управления оборудованием в диспетчер устройств появится неизвестное устройство. После установки драйвера в диспетчер устройств появится новый компонент, Microsoft ACPI Generic IPMI-совместимое устройство.

Если ваша система не обнаруживает контроллер BMC автоматически и не устанавливает драйвер, но во время установки обнаружен BMC, создайте устройство BMC. Чтобы создать устройство, введите в командной строке следующую команду:

Rundll32 ipmisetp.dll, AddTheDevice

После выполнения этой команды устройство IPMI создается и отображается в диспетчер устройств. При удалении компонента "Управление оборудованием" устройство удаляется.

Дополнительные сведения см. в статье Общие сведения об управлении оборудованием.

Поставщик IPMI помещает классы оборудования в корневоепространство имен WMI. Дополнительные сведения о классах оборудования см. в разделе Поставщик IPMI. Дополнительные сведения о пространствах имен WMI см. в разделе Архитектура WMI.

Заметки о конфигурации подключаемого модуля WMI

Начиная с Windows 8 и Windows Server 2012 подключаемые модули WMI имеют собственные конфигурации безопасности. Чтобы обычный или опытный пользователь, а не администратор, мог использовать подключаемый модуль WMI, включите доступ для этого пользователя после настройки прослушивателя . Настройте пользователя для удаленного доступа к инструментарию WMI , выполнив одно из следующих действий.

  • Выполните команду lusrmgr.msc , чтобы добавить пользователя в группу WinRMRemoteWMIUsers__ в окне Локальные пользователи и группы .

  • Используйте программу командной строки Winrm, чтобы настроить дескриптор безопасности для пространства именподключаемого модуля WMI:

    winrm configSDDL http://schemas.microsoft.com/wbem/wsman/1/wmi/ WmiNamespace

Когда появится пользовательский интерфейс, добавьте пользователя.

После настройки удаленного доступа пользователя к инструментарию WMI необходимо настроить WMI , чтобы разрешить пользователю доступ к подключаемого модуля. Чтобы разрешить доступ, запустите wmimgmt.msc , чтобы изменить безопасность WMI для пространства имен , доступ к который будет осуществляться в окне управления WMI .

Большинство классов WMI для управления находятся в пространстве имен root\cimv2 .