策略 CSP - RemoteManagement

  • 项目

提示

此 CSP 包含 ADMX 支持的策略，这些策略需要特殊的 SyncML 格式才能启用或禁用。 必须在 SyncML 中将数据类型指定为 <Format>chr</Format>。 有关详细信息，请参阅 了解 ADMX 支持的策略。

SyncML 的有效负载必须是 XML 编码的;对于此 XML 编码，可以使用各种联机编码器。 若要避免对有效负载进行编码，可以使用 CDATA（如果 MDM 支持）。 有关详细信息，请参阅 CDATA 节。

AllowBasicAuthentication_Client

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/AllowBasicAuthentication_Client

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 客户端是否使用基本身份验证。

  • 如果启用此策略设置，WinRM 客户端将使用基本身份验证。 如果 WinRM 配置为使用 HTTP 传输，则用户名和密码会以明文形式通过网络发送。

  • 如果禁用或未配置此策略设置，则 WinRM 客户端不使用基本身份验证。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 AllowBasic_2
友好名称 允许基本身份验证
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 客户端
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Client
注册表值名称 AllowBasic
ADMX 文件名 WindowsRemoteManagement.admx

AllowBasicAuthentication_Service

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/AllowBasicAuthentication_Service

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 服务是否接受来自远程客户端的基本身份验证。

  • 如果启用此策略设置，则 WinRM 服务接受来自远程客户端的基本身份验证。

  • 如果禁用或未配置此策略设置，则 WinRM 服务不接受来自远程客户端的基本身份验证。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 AllowBasic_1
友好名称 允许基本身份验证
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 服务
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Service
注册表值名称 AllowBasic
ADMX 文件名 WindowsRemoteManagement.admx

AllowCredSSPAuthenticationClient

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/AllowCredSSPAuthenticationClient

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 客户端是否使用 CredSSP 身份验证。

  • 如果启用此策略设置，WinRM 客户端将使用 CredSSP 身份验证。

  • 如果禁用或未配置此策略设置，WinRM 客户端不会使用 CredSSP 身份验证。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 AllowCredSSP_2
友好名称 允许 CredSSP 身份验证
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 客户端
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Client
注册表值名称 AllowCredSSP
ADMX 文件名 WindowsRemoteManagement.admx

AllowCredSSPAuthenticationService

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/AllowCredSSPAuthenticationService

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 服务是否接受来自远程客户端的 CredSSP 身份验证。

  • 如果启用此策略设置，则 WinRM 服务接受来自远程客户端的 CredSSP 身份验证。

  • 如果禁用或未配置此策略设置，WinRM 服务不接受来自远程客户端的 CredSSP 身份验证。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 AllowCredSSP_1
友好名称 允许 CredSSP 身份验证
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 服务
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Service
注册表值名称 AllowCredSSP
ADMX 文件名 WindowsRemoteManagement.admx

AllowRemoteServerManagement

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/AllowRemoteServerManagement

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 服务是否通过默认 HTTP 端口自动侦听网络上的 HTTP 传输请求。

  • 如果启用此策略设置，WinRM 服务会自动侦听网络上通过默认 HTTP 端口传输的请求。

若要允许 WinRM 服务通过网络接收请求，请配置 Windows 防火墙策略设置，但端口 5985 例外 (HTTP) 的默认端口。

  • 如果禁用或未配置此策略设置，则无论是否配置了任何 WinRM 侦听器，WinRM 服务都不会响应来自远程计算机的请求。

该服务侦听 IPv4 和 IPv6 筛选器指定的地址。 IPv4 筛选器指定一个或多个 IPv4 地址范围，IPv6 筛选器指定一个或多个 IPv6 地址范围。 如果指定，服务将枚举计算机上的可用 IP 地址，并且仅使用属于其中一个筛选器范围的地址。

应使用星号 (*) 来指示服务侦听计算机上的所有可用 IP 地址。 使用 * 时，将忽略筛选器中的其他范围。 如果筛选器留空，则服务不会侦听任何地址。

例如，如果希望服务仅侦听 IPv4 地址，请将 IPv6 筛选器留空。

使用语法 IP1-IP2 指定范围。 使用 “、” (逗号) 分隔符分隔多个区域。

示例 IPv4 筛选器：\n2.0.0.1-2.0.0.20， 24.0.0.1-24.0.0.22 示例 IPv6 筛选器：\n3FFE：FFFF：7654：FEDA：1245：BA98：0000：0000-3。 FFE：FFFF：7654：FEDA：1245：BA98：3210：4562。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 AllowAutoConfig
友好名称 允许通过 WinRM 进行远程服务器管理
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 服务
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Service
注册表值名称 AllowAutoConfig
ADMX 文件名 WindowsRemoteManagement.admx

AllowUnencryptedTraffic_Client

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/AllowUnencryptedTraffic_Client

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 客户端是否通过网络发送和接收未加密的消息。

  • 如果启用此策略设置，WinRM 客户端会通过网络发送和接收未加密的消息。

  • 如果禁用或未配置此策略设置，则 WinRM 客户端仅通过网络发送或接收加密消息。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 AllowUnencrypted_2
友好名称 允许未加密的流量
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 客户端
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Client
注册表值名称 AllowUnencryptedTraffic
ADMX 文件名 WindowsRemoteManagement.admx

AllowUnencryptedTraffic_Service

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/AllowUnencryptedTraffic_Service

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 服务是否通过网络发送和接收未加密的消息。

  • 如果启用此策略设置，WinRM 客户端会通过网络发送和接收未加密的消息。

  • 如果禁用或未配置此策略设置，则 WinRM 客户端仅通过网络发送或接收加密消息。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 AllowUnencrypted_1
友好名称 允许未加密的流量
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 服务
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Service
注册表值名称 AllowUnencryptedTraffic
ADMX 文件名 WindowsRemoteManagement.admx

DisallowDigestAuthentication

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/DisallowDigestAuthentication

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 客户端是否使用摘要式身份验证。

  • 如果启用此策略设置，WinRM 客户端不使用摘要式身份验证。

  • 如果禁用或未配置此策略设置，WinRM 客户端将使用摘要式身份验证。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 DisallowDigest
友好名称 不允许摘要式身份验证
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 客户端
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Client
注册表值名称 AllowDigest
ADMX 文件名 WindowsRemoteManagement.admx

DisallowNegotiateAuthenticationClient

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/DisallowNegotiateAuthenticationClient

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 客户端是否使用协商身份验证。

  • 如果启用此策略设置，WinRM 客户端不会使用协商身份验证。

  • 如果禁用或未配置此策略设置，WinRM 客户端将使用协商身份验证。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 DisallowNegotiate_2
友好名称 不允许协商身份验证
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 客户端
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Client
注册表值名称 AllowNegotiate
ADMX 文件名 WindowsRemoteManagement.admx

DisallowNegotiateAuthenticationService

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/DisallowNegotiateAuthenticationService

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 服务是否接受来自远程客户端的协商身份验证。

  • 如果启用此策略设置，WinRM 服务不接受来自远程客户端的协商身份验证。

  • 如果禁用或未配置此策略设置，WinRM 服务接受来自远程客户端的协商身份验证。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 DisallowNegotiate_1
友好名称 不允许协商身份验证
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 服务
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Service
注册表值名称 AllowNegotiate
ADMX 文件名 WindowsRemoteManagement.admx

DisallowStoringOfRunAsCredentials

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/DisallowStoringOfRunAsCredentials

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 服务是否不允许存储任何插件的 RunAs 凭据。

  • 如果启用此策略设置，WinRM 服务将不允许为任何插件设置 RunAsUser 或 RunAsPassword 配置值。如果插件已设置 RunAsUser 和 RunAsPassword 配置值，将从此计算机上的凭据存储中清除 RunAsPassword 配置值。

  • 如果禁用或不配置此策略设置，WinRM 服务将允许为插件设置 RunAsUser 和 RunAsPassword 配置值，并且将安全地存储 RunAsPassword 值。

如果启用并禁用此策略设置，则需要重置以前为 RunAsPassword 配置的任何值。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 DisableRunAs
友好名称 禁止 WinRM 存储 RunAs 凭据
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 服务
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Service
注册表值名称 DisableRunAs
ADMX 文件名 WindowsRemoteManagement.admx

SpecifyChannelBindingTokenHardeningLevel

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/SpecifyChannelBindingTokenHardeningLevel

使用此策略设置，可以设置有关通道绑定令牌的 Windows 远程管理 (WinRM) 服务的强化级别。

  • 如果启用此策略设置，WinRM 服务将根据提供的通道绑定令牌使用在 HardeningLevel 中指定的级别来确定是否接受收到的请求。

  • 如果禁用或未配置此策略设置，则可以在每台计算机上本地配置强化级别。

如果 HardeningLevel 设置为 Strict，则拒绝任何不包含有效通道绑定令牌的请求。

如果将 HardeningLevel 设置为宽松 (默认值) ，则包含无效通道绑定令牌的任何请求都会被拒绝。 但是， (接受不包含通道绑定令牌的请求，但不受凭据转发攻击) 保护。

如果 HardeningLevel 设置为“无”，则会 (接受所有请求，但不受凭据转发攻击) 保护。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 CBTHardeningLevel_1
友好名称 指定通道绑定令牌强化级别
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 服务
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Service
注册表值名称 CBTHardeningLevelStatus
ADMX 文件名 WindowsRemoteManagement.admx

TrustedHosts

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/TrustedHosts

使用此策略设置，可以管理 Windows 远程管理 (WinRM) 客户端是否使用 TrustedHostsList 中指定的列表来确定目标主机是否为受信任实体。

  • 如果启用此策略设置，WinRM 客户端将使用 TrustedHostsList 中指定的列表来确定目标主机是否为受信任实体。 当不使用 HTTPS 和 Kerberos 对主机的标识进行身份验证时，WinRM 客户端将使用此列表。

  • 如果禁用或未配置此策略设置，并且 WinRM 客户端需要使用受信任主机列表，则必须在每台计算机上本地配置受信任主机列表。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 TrustedHosts
友好名称 受信任的主机
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 客户端
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Client
注册表值名称 TrustedHosts
ADMX 文件名 WindowsRemoteManagement.admx

TurnOnCompatibilityHTTPListener

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/TurnOnCompatibilityHTTPListener

此策略设置将打开或关闭在 Windows 远程管理 (WinRM) 服务中为向后兼容目的而创建的 HTTP 侦听器。

  • 如果启用此策略设置，将始终显示 HTTP 侦听器。

  • 如果禁用或未配置此策略设置，则永远不会显示 HTTP 侦听器。

当某些端口 80 侦听器迁移到 WinRM 2.0 时，侦听器端口号将更改为 5985。

可能会在端口 80 上自动创建侦听器，以确保向后兼容性。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 HttpCompatibilityListener
友好名称 启用兼容性 HTTP 侦听器
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 服务
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Service
注册表值名称 HttpCompatibilityListener
ADMX 文件名 WindowsRemoteManagement.admx

TurnOnCompatibilityHTTPSListener

范围 版本 适用的操作系统
✅ 设备
❌ 用户		 ✅ 专业版
✅ 企业版
✅ 教育版
✅ Windows SE
✅ IoT 企业版/IoT 企业版 LTSC		 ✅Windows 10版本 1709 [10.0.16299] 及更高版本 
./Device/Vendor/MSFT/Policy/Config/RemoteManagement/TurnOnCompatibilityHTTPSListener

此策略设置将打开或关闭在 Windows 远程管理 (WinRM) 服务中为向后兼容目的而创建的 HTTPS 侦听器。

  • 如果启用此策略设置，将始终显示 HTTPS 侦听器。

  • 如果禁用或未配置此策略设置，则永远不会显示 HTTPS 侦听器。

当某些端口 443 侦听器迁移到 WinRM 2.0 时，侦听器端口号将更改为 5986。

可能会在端口 443 上自动创建侦听器，以确保向后兼容性。

描述框架属性:

属性名 属性值
格式 chr (字符串)
访问类型 添加、删除、获取、替换

提示

这是 ADMX 支持的策略，需要 SyncML 格式进行配置。 有关 SyncML 格式的示例，请参阅 启用策略。

ADMX 映射：

名称 值
名称 HttpsCompatibilityListener
友好名称 打开兼容性 HTTPS 侦听器
位置 “计算机配置”
路径 Windows 组件 > Windows 远程管理 (WinRM) > WinRM 服务
注册表项名称 Software\Policies\Microsoft\Windows\WinRM\Service
注册表值名称 HttpsCompatibilityListener
ADMX 文件名 WindowsRemoteManagement.admx

策略配置服务提供程序