Как разрешить в windows выполнение скриптов powershell

about_Execution_Policies

Описывает политики выполнения PowerShell и объясняет, как управлять ими.

Подробное описание

Политика выполнения PowerShell — это функция безопасности, управляющая условиями, при которых PowerShell загружает файлы конфигурации и запускает скрипты. Эта функция помогает предотвратить выполнение вредоносных скриптов.

На компьютере Windows можно задать политику выполнения для локального компьютера, текущего пользователя или для определенного сеанса. Можно также использовать параметр групповой политики, чтобы задать политики выполнения для компьютеров и пользователей.

Политики выполнения для локального компьютера и текущего пользователя хранятся в реестре. Вам не нужно задавать политики выполнения в профиле PowerShell. Политика выполнения для определенного сеанса хранится только в памяти и теряется при закрытии сеанса.

Политика выполнения не является системой безопасности, которая ограничивает действия пользователей. Например, пользователи могут легко обойти политику, введя содержимое скрипта в командной строке, если они не могут запустить скрипт. Вместо этого политика выполнения помогает пользователям задавать основные правила и непреднамеренно нарушать их.

На компьютерах, отличных от Windows, политика выполнения по умолчанию не Unrestricted может быть изменена. Командлет Set-ExecutionPolicy доступен, но PowerShell отображает консольное сообщение, которое оно не поддерживает. Хотя Get-ExecutionPolicy возвращается Unrestricted на платформах, отличных от Windows, поведение действительно соответствуетBypass, так как эти платформы не реализуют зоны Безопасность Windows.

Политики выполнения PowerShell

Применение этих политик происходит только на платформах Windows. Политики выполнения PowerShell приведены следующим образом:

AllSigned

Скрипты могут выполняться.
требует, чтобы все скрипты и файлы конфигурации, включая скрипты, подготовленные на локальном компьютере, были подписаны доверенным издателем.
Запрашивает перед выполнением скриптов от издателей, которые вы еще не классифицировали как доверенные или ненадежные.
Риски выполнения подписанных, но вредоносных сценариев.

Bypass

ничего не блокируется, и никакие предупреждения и запросы не появляются.
Эта политика выполнения предназначена для конфигураций, в которых скрипт PowerShell встроен в более крупное приложение или для конфигураций, в которых PowerShell является основой для программы, которая имеет собственную модель безопасности.

Default

Задает политику выполнения по умолчанию.
Restricted для клиентов Windows.
RemoteSigned для серверов Windows.

RemoteSigned

Политика выполнения по умолчанию для компьютеров Windows Server.
Скрипты могут выполняться.
Требуется цифровая подпись доверенного издателя на скриптах и файлах конфигурации, скачанных из Интернета, включая программы электронной почты и обмена мгновенными сообщениями.
Не требуется цифровые подписи для сценариев, написанных на локальном компьютере и не скачанных из Интернета.
Запускает скрипты, скачанные из Интернета и не подписанные, если скрипты разблокируются, например с помощью командлета Unblock-File .
Риски выполнения неподписанных скриптов из источников, отличных от Интернета, и подписанных скриптов, которые могут быть вредоносными.

Restricted

Политика выполнения по умолчанию для клиентских компьютеров Windows.
Разрешает отдельные команды, но не разрешает скрипты.
Запрещает выполнение всех файлов скриптов, включая форматирование и файлы конфигурации (), файлы скриптов модуля ( .ps1xml .psm1 ) и профили PowerShell ( .ps1 ).

Undefined

В текущей область не задана политика выполнения.
Если политика выполнения во всех область имеет значениеUndefined, эффективная политика выполнения для Restricted клиентов Windows и RemoteSigned для Windows Server.

Unrestricted

Политика выполнения по умолчанию для компьютеров, отличных от Windows, не может быть изменена.
Неподписанные скрипты могут выполняться. Существует риск запуска вредоносных сценариев.
Предупреждает пользователя перед выполнением скриптов и файлов конфигурации, которые не относятся к локальной зоне интрасети.

В системах, которые не отличают пути универсального именования (UNC) от путей к Интернету, скрипты, определяемые путем UNC, могут быть запрещены для выполнения с политикой выполнения RemoteSigned .

Политика выполнения область

Политику выполнения можно задать только в определенном область.

Допустимые значенияScope: MachinePolicyUserPolicy, ProcessCurrentUser и LocalMachine. LocalMachine — это значение по умолчанию при настройке политики выполнения.

Значения Scope перечислены в порядке приоритета. Политика, которая имеет приоритет, действует в текущем сеансе, даже если более ограничительная политика была установлена на более низком уровне приоритета.

Дополнительные сведения см. в разделе Set-ExecutionPolicy.

MachinePolicy

Задает групповую политику для всех пользователей компьютера.

UserPolicy

Задает групповую политику для текущего пользователя компьютера.

Process

Область Process влияет только на текущий сеанс PowerShell. Политика выполнения сохраняется в переменной $env:PSExecutionPolicyPreference среды, а не в реестре. При закрытии сеанса PowerShell переменная и значение удаляются.

CurrentUser

Политика выполнения влияет только на текущего пользователя. Он хранится в подразделе реестра HKEY_CURRENT_USER .

LocalMachine

Политика выполнения влияет на всех пользователей на текущем компьютере. Он хранится в подразделе реестра HKEY_LOCAL_MACHINE .

Управление политикой выполнения с помощью PowerShell

Чтобы получить эффективную политику выполнения для текущего сеанса Get-ExecutionPolicy PowerShell, используйте командлет.

Следующая команда получает эффективную политику выполнения:

Get-ExecutionPolicy

Чтобы получить все политики выполнения, влияющие на текущий сеанс, и отобразить их в порядке приоритета:

Get-ExecutionPolicy -List

Результат выглядит примерно так, как показано в следующем примере выходных данных:

 Scope ExecutionPolicy ----- --------------- MachinePolicy Undefined UserPolicy Undefined Process Undefined CurrentUser RemoteSigned LocalMachine AllSigned

В этом случае эффективная политика выполнения является RemoteSigned , так как политика выполнения для текущего пользователя имеет приоритет над набором политик выполнения для локального компьютера.

Чтобы получить набор политик выполнения для определенного область, используйте Scope параметр Get-ExecutionPolicy .

Например, следующая команда получает политику выполнения для область CurrentUser:

Get-ExecutionPolicy -Scope CurrentUser

Изменение политики выполнения

Чтобы изменить политику выполнения PowerShell на компьютере Windows, используйте Set-ExecutionPolicy командлет. Изменение действует немедленно. Вам не нужно перезапустить PowerShell.

Если вы задаете политику выполнения для область s LocalMachine или CurrentUser, изменение сохраняется в реестре и остается эффективным, пока не измените его еще раз.

Если задать политику выполнения для Process область, она не сохраняется в реестре. Политика выполнения сохраняется до тех пор, пока текущий процесс не будет закрыт и все дочерние процессы.

В Windows Vista и более поздних версиях Windows выполните команды, которые изменяют политику выполнения для локального компьютера, LocalMachine область, запустите PowerShell с параметром «Запуск от имени администратора«.

Чтобы изменить политику выполнения, выполните следующие действия.

Set-ExecutionPolicy -ExecutionPolicy

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Чтобы задать политику выполнения в определенном область, выполните следующие действия.

Set-ExecutionPolicy -ExecutionPolicy -Scope

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Команда для изменения политики выполнения может завершиться успешно, но по-прежнему не измените эффективную политику выполнения.

Например, команда, которая задает политику выполнения для локального компьютера, может быть выполнена успешно, но переопределена политикой выполнения для текущего пользователя.

Удаление политики выполнения

Чтобы удалить политику выполнения для конкретной область, задайте для политики выполнения значение Undefined.

Например, чтобы удалить политику выполнения для всех пользователей локального компьютера:

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope LocalMachine

Удаление политики выполнения для Scope:

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope CurrentUser

Если политика выполнения не задана в любом область, то эффективная политика выполнения является Restrictedстандартной для клиентов Windows.

Настройка другой политики для одного сеанса

Параметр ExecutionPolicy pwsh.exe можно использовать для задания политики выполнения для нового сеанса PowerShell. Политика влияет только на текущие сеансы и дочерние сеансы.

Чтобы задать политику выполнения для нового сеанса, запустите PowerShell в командной строке, например cmd.exe или из PowerShell, а затем используйте параметр ExecutionPolicy для pwsh.exe задания политики выполнения.

pwsh.exe -ExecutionPolicy AllSigned

Заданная политика выполнения не хранится в реестре. Вместо этого он хранится в переменной $env:PSExecutionPolicyPreference среды. Переменная удаляется при закрытии сеанса, в котором задана политика. Изменить политику нельзя, изменив значение переменной.

Во время сеанса политика выполнения, установленная для сеанса, имеет приоритет над политикой выполнения, установленной в реестре для локального компьютера или текущего пользователя. Однако он не имеет приоритета над политикой выполнения, заданной с помощью групповой политики.

Используйте групповую политику для управления политикой выполнения

Параметр групповой политики Включить выполнение сценариев можно использовать для управления политикой выполнения компьютеров в вашей организации. Параметр групповой политики переопределяет политики выполнения, заданные в PowerShell во всех областях.

Параметр политики Включить выполнение скриптов:

Если отключить параметр Включить выполнение скриптов, скрипты не будут выполняться. Это эквивалентно политике Restricted выполнения.
Если включить параметр Включить выполнение скриптов, вы можете выбрать политику выполнения. Параметры групповой политики эквивалентны следующим параметрам политики выполнения:

Групповая политика	Политика выполнения
Разрешить все скрипты	Unrestricted
Разрешить локальные и удаленные подписанные скрипты	RemoteSigned
Разрешить только подписанные скрипты	AllSigned

Файлы PowerShellExecutionPolicy.adm и PowerShellExecutionPolicy.admx добавляют политику Включить выполнение скриптов в узлы «Конфигурация компьютера» и «Конфигурация пользователя» в редакторе групповой политики в следующие каталоги.

Windows XP и Windows Server 2003:

Administrative Templates\Windows Components\Windows PowerShell

Windows Vista и более поздние версии Windows:

Administrative Templates\Classic Administrative Templates\Windows Components\Windows PowerShell

Политики, заданные в узле «Конфигурация компьютера», имеют приоритет над политиками, заданными в узле «Конфигурация пользователя».

Дополнительные сведения см. в разделе about_Group_Policy_Settings.

Приоритет политики выполнения

При определении эффективной политики выполнения для сеанса PowerShell оценивает политики выполнения в следующем порядке приоритета:

Group Policy: MachinePolicy Group Policy: UserPolicy Execution Policy: Process (or pwsh.exe -ExecutionPolicy) Execution Policy: CurrentUser Execution Policy: LocalMachine

Управление подписанными и неподписанными скриптами

В Windows такие программы, как Интернет Обозреватель и Microsoft Edge, добавляют альтернативный поток данных в файлы, скачанные. Этот файл помечает файл как «поступающий из Интернета». Если политика выполнения PowerShell является RemoteSigned, PowerShell не будет запускать неподписанные скрипты, скачанные из Интернета, в том числе программы электронной почты и обмена мгновенными сообщениями.

Вы можете подписать скрипт или выбрать для запуска неподписанный скрипт, не изменив политику выполнения.

Начиная с PowerShell 3.0, можно использовать параметр Stream командлета Get-Item для обнаружения заблокированных файлов, так как они были скачаны из Интернета. Unblock-File Используйте командлет, чтобы разблокировать скрипты, чтобы их можно было запустить в PowerShell.

Дополнительные сведения см. в разделе about_Signing, Get-Item и Unblock-File.

Другие методы скачивания файлов могут не пометить файлы как поступающие из зоны Интернета. Некоторыми примерами могут служить:

curl.exe
Invoke-RestMethod
Invoke-WebRequest

Политика выполнения в Windows Server Core и Windows Nano Server

Если PowerShell 6 выполняется в Windows Server Core или Windows Nano Server в определенных условиях, политики выполнения могут завершиться сбоем со следующей ошибкой:

AuthorizationManager check failed. At line:1 char:1 + C:\scriptpath\scriptname.ps1 + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ + CategoryInfo : SecurityError: (:) [], PSSecurityException + FullyQualifiedErrorId : UnauthorizedAccess

PowerShell использует API в классической оболочке Windows ( explorer.exe ) для проверки зоны файла скрипта. Оболочка Windows недоступна в Windows Server Core и Windows Nano Server.

Вы также можете получить эту ошибку в любой системе Windows, если оболочка рабочего стола Windows недоступна или не отвечает. Например, во время входа сценарий входа в Систему PowerShell может начать выполнение до готовности рабочего стола Windows, что приведет к сбою.

Использование политики выполнения ByPass или AllSigned не требует проверка зоны, которая избегает проблемы.

См. также

about_Environment_Variables
about_Group_Policy_Settings
about_Pwsh
about_Signing
Get-ExecutionPolicy
Set-ExecutionPolicy
Get-Item
Unblock-File

Совместная работа с нами на GitHub

Источник этого содержимого можно найти на GitHub, где также можно создавать и просматривать проблемы и запросы на вытягивание. Дополнительные сведения см. в нашем руководстве для участников.

Выполнение сценариев с помощью платформы поддержки пакетов

Скрипты позволяют ИТ-специалистов динамически настраивать приложение в среде пользователя после его упаковки с помощью MSIX. Например, можно использовать сценарии для настройки базы данных, настройки VPN, подключения общего диска или динамического выполнения проверка лицензии. Скрипты обеспечивают большую гибкость. Они могут изменять разделы реестра или изменять файлы на основе конфигурации компьютера или сервера.

Платформу поддержки пакетов (PSF) можно использовать для запуска одного скрипта PowerShell перед запуском исполняемого файла упаковаемого приложения и одним скриптом PowerShell после выполнения исполняемого файла приложения для очистки. Каждый исполняемый файл приложения, определенный в манифесте приложения, может иметь собственные скрипты. Скрипт можно настроить для запуска только один раз при первом запуске приложения и без отображения окна PowerShell, чтобы пользователи не завершили скрипт преждевременно по ошибке. Существуют другие параметры настройки способа запуска скриптов, показанные ниже.

Необходимые компоненты

Чтобы включить выполнение скриптов, необходимо задать для политики выполнения PowerShell значение RemoteSigned . Для этого выполните следующую команду:

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

Политика выполнения должна быть задана как для 64-разрядного исполняемого файла PowerShell, так и для 32-разрядного исполняемого файла PowerShell. Обязательно откройте каждую версию PowerShell и выполните одну из приведенных выше команд.

Ниже приведены расположения каждого исполняемого файла.

64-разрядный компьютер:

64-разрядный исполняемый файл: %SystemRoot%\system32\WindowsPowerShell\v1.0\powershell.exe
32-разрядный исполняемый файл: %SystemRoot%\SysWOW64\WindowsPowerShell\v1.0\powershell.exe

32-разрядный исполняемый файл: %SystemRoot%\system32\WindowsPowerShell\v1.0\powershell.exe

Дополнительные сведения о политиках выполнения PowerShell см . в этой статье.

�� Обязательно включите в пакет файл StartingScriptWrapper.ps1 и поместите его в ту же папку, что и исполняемый файл. Этот файл можно скопировать из пакета NuGet PSF или из репозитория PSF Github.

Включение скриптов

Чтобы указать, какие скрипты будут выполняться для каждого упаковаемого исполняемого файла приложения, необходимо изменить файл config.json. Чтобы сообщить PSF запустить скрипт перед выполнением упаковаемого приложения, добавьте элемент конфигурации с именем startScript . Чтобы сообщить PSF запустить скрипт после завершения упаковаемого приложения, добавьте элемент конфигурации с именем endScript .

Элементы конфигурации скрипта

Ниже приведены элементы конфигурации, доступные для скриптов. Конечный скрипт игнорирует waitForScriptToFinish элементы конфигурации и stopOnScriptError элементы конфигурации.

Имя ключа	Тип значения	Обязательное?	По умолчанию.	Description
scriptPath	string	Да	Н/П	Путь к скрипту, включая имя и расширение. Путь относится к рабочему каталогу приложения, если он указан, в противном случае он начинается в корневом каталоге пакета.
scriptArguments	строка	Нет	empty	Список аргументов с разделителями пространства. Формат совпадает с вызовом скрипта PowerShell. Эта строка добавляется для scriptPath выполнения допустимого вызова PowerShell.exe.
runInVirtualEnvironment	boolean	No	true	Указывает, должен ли скрипт выполняться в той же виртуальной среде, в которой выполняется упаковаемое приложение.
runOnce	boolean	No	true	Указывает, должен ли скрипт выполняться один раз на пользователя на каждую версию.
showWindow	boolean	No	false	Указывает, отображается ли окно PowerShell.
stopOnScriptError	boolean	No	false	Указывает, следует ли выйти из приложения, если начальный скрипт завершается сбоем.
waitForScriptToFinish	boolean	No	true	Указывает, следует ли упаковаированному приложению ожидать завершения запуска скрипта перед началом работы.
timeout	DWORD	No	INFINITE	Сколько времени скрипту будет разрешено выполнять. Когда время истекает, скрипт будет остановлен.

Параметр stopOnScriptError: true и waitForScriptToFinish: false для примера приложения не поддерживается. Если вы задали оба этих элемента конфигурации, PSF вернет ошибку ERROR_BAD_CONFIGURATION.

Пример конфигурации

Ниже приведен пример конфигурации с использованием двух разных исполняемых файлов приложения.

< "applications": [ < "id": "Sample", "executable": "Sample.exe", "workingDirectory": "", "stopOnScriptError": false, "startScript": < "scriptPath": "RunMePlease.ps1", "scriptArguments": "\\\"First argument\\\" secondArgument", "runInVirtualEnvironment": true, "showWindow": true, "waitForScriptToFinish": false >, "endScript": < "scriptPath": "RunMeAfter.ps1", "scriptArguments": "ThisIsMe.txt" >>, < "id": "CPPSample", "executable": "CPPSample.exe", "workingDirectory": "", "startScript": < "scriptPath": "CPPStart.ps1", "scriptArguments": "ThisIsMe.txt", "runInVirtualEnvironment": true >, "endScript": < "scriptPath": "CPPEnd.ps1", "scriptArguments": "ThisIsMe.txt", "runOnce": false >> ], "processes": [ . (taken out for brevity) ] >

Windows admin blog

Полезные команды cmd, powershell, администрирование, фичи и решения проблем на win/winserver

Разрешить запуск скриптов Powershell (Powershell Execution Policy)

ОПИСАНИЕ

По умолчанию скрипты Powershell блокируются для запуска. Механизм этот называется Execution Policy. Однако, зачастую необходимо разрешить выполнение скриптов, чтобы, например, иметь возможность выполнять их по расписанию в планировщике заданий.

Чтобы узнать, какая сейчас установлено политика, нужно воспользоваться командой

Get-ExecutionPolicy

Значения этой политики хранятся в реестре по следующему пути:

строковый параметр «ExecutionPolicy»

По умолчанию значение этого параметра выставлено в «Restricted» (ограниченный), что и запрещает выполнение скриптов.

На самом деле, область применения политики различная — она может устанавливаться на разных уровнях системы, таким образом она будет распространяться на компьютер (будет действовать для всех пользователей), только на текущего пользователя и т.п. Посмотреть эту информацию можно, добавив параметр -list

Get-ExecutionPolicy -list

ИЗМЕНЕНИЕ ПОЛИТИКИ

Чтобы сменить политику, необходимо воспользоваться командой:

Set-ExecutionPolicy

Unrestricted, RemoteSigned, AllSigned, Restricted, Default, Bypass, Undefined

Наиболее интересны для нас первые четыре:

• Restricted — выполнение сценариев запрещено. Эта опция установлена по умолчанию. Команды в таком случае можно выполнять только в интерактивном режиме.

• All Signed — разрешено выполнение только сценариев, подписанных доверенным издателем.

• RemoteSigned — разрешено выполнение любых сценариев, созданных локально, а сценарии, созданные на удаленных системах, выполняются только в том случае, если подписаны доверенным издателем.

• Unrestricted — разрешено выполнение абсолютно любых сценариев.

Наиболее безопасным будет параметр RemoteSigned, который будет выполнять только сценарии, созданные вами локально.

Чтобы изменить политику, запустите Powershell от имени администратора и введите:

Set-ExecutionPolicy RemoteSigned

Изменение политики выполнения
Политика выполнения защищает компьютер от ненадежных сценариев. Изменение политики выполнения может поставить под угрозу безопасность системы, как описано в разделе справки, вызываемом командой about_Execution_Policies и расположенном по адресу https:/go.microsoft.com/fwlink/?LinkID=135170 . Вы хотите изменить политику выполнения?
[Y] Да — Y [A] Да для всех — A [N] Нет — N [L] Нет для всех — L [S] Приостановить — S [?] Справка
(значением по умолчанию является «N»):

Выбираем пункт A .

Настройка политики запуска скриптов (Execution Policy) PowerShell

date

03.06.2020

user

itpro

Выполнение PowerShell скриптов запрещено для данной системы

При попытке выполнить PowerShell скрипт (файл с расширением PS1) на чистой Windows 10, появляется ошибка:

File C:\ps\.ps1 cannot be loaded because running scripts is disabled on this system. For more information, see about_Execution_Policies at https:/go.microsoft.com/fwlink/?LinkID=135170. + CategoryInfo : SecurityError: (:) [], PSSecurityException + FullyQualifiedErrorId : UnauthorizedAccess

Не удается загрузить файл.ps1, так как выполнение скриптов запрещено для данной системы.

Не удается загрузить файл ps1, так как выполнение скриптов запрещено для данной системы.

Текущее значение политики выполнения скриптов PowerShell на компьютере можно получить командой:

Get-ExecutionPolicy

Доступны следующие значения PowerShell Execution Policy:

Do you want to run software from this untrusted publisher? File .ps1 is published by CN=test1 and is not trusted on your system. Only run scripts from trusted publishers

вы хотите запустить powershell скрипт от недоверенного издателя?

RemoteSigned – можно запускать локальные PowerShell скрипты без ограничения. Можно запускать удаленные PS файлы с цифровой подписью (нельзя запустить PS1 файлы, скачанные из Интернета, запущенные из сетевой папки по UNC пути и т.д.);
Unrestricted – разрешен запуск всех PowerShell скриптов;

При запуске сторонних PowerShell скриптов может появляется предупреждение с подтверждением запуска, см. ниже.

В Windows 10 значение политики выполнения PowerShell по-умолчанию Restricted, а в Windows Server 2016 — RemoteSigned.

Как разрешить запуск скриптов PowerShell с помощью Execution Policy?

Чтобы изменить текущее значение политики запуска PowerShell скриптов, используется командлет Set-ExecutionPolicy.

Например, разрешим запуск локальных скриптов:

Подтвердите изменение политики запуска PS1 скриптов, нажав Y или A.

Чтобы запрос не появлялся, можно использовать параметр Force.

Set-ExecutionPolicy RemoteSigned –Force

Если вы установили значение политики PowerShell Execution Policy в Unrestricted, то при запуске удаленных скриптов из сетевых каталогов по UNC пути, скачанных из интернета файлов, все равно будет появляться предупреждение:
```
Security warning Run only scripts that you trust. While scripts from the internet can be useful, this script can potentially harm your computer. If you trust this script, use the Unblock-File cmdlet to allow the script to run without this warning message. Do you want to run? [D] Do not run [R] Run once [S] Suspend [?] Help (default is "D")
```
Как PowerShell различает локальные и удаленные скрипты? Все дело в идентификаторе зоны ZoneId, которую выставляет браузер в альтернативном потоке при загрузке файла (см. статью “Как Windows определяет, что файл скачан из Интернета?”). Вы можете разблокировать такой файл, поставив галку “Разблокирвать” в его свойствах или очиститься метку зоны с помощью комадлета Unblock-File.

Также следует различать различные области действия политик выполнения скриптов PowerShell (scopes):
- MachinePolicy – действует для всех пользователей компьютера, настраивается через GPO;
- UserPolicy – действует на пользователей компьютера, также настраивается через GPO;
- Process — настройки ExecutionPolicy действует только для текущего сеанса PowerShell.exe (сбрасываются при закрытии процесса);
- CurrentUser – политика ExecutionPolicy применяется только к текущему пользователю (параметр из ветки реестра HKEY_CURRENT_USER);
- LocalMachine – политика для всех пользователей компьютера (параметр из ветки реестра HKEY_LOCAL_MACHINE);
Область применения политики можно указать с помощью параметр Scope командлета Set-ExecutionPolicy. Например:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass –Force

Проверим текущие настройки ExecutionPolicy для всех областей:
```
Scope ExecutionPolicy ----- --------------- MachinePolicy Undefined UserPolicy Undefined Process Bypass CurrentUser Undefined LocalMachine RemoteSigned
```
Значение политики выполнения, которые вы задаете с помощью командлета Set-ExecutionPolicy для областей CurrentUser и LocalMachine, хранятся в реестре. Например, выполните командлет:

Set-ExecutionPolicy -Scope LocalMachine -ExecutionPolicy Restricted –Force

Откройте ветку реестра HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PowerShell\1\ShellIds\Microsoft.PowerShell и проверьте значение REG_SZ параметра ExecutionPolicy. Оно изменилось на Restricted (допустимые значения параметра Restricted, AllSigned, RemoteSigned, Bypass, Unrestricted и Undefined).

Аналогичные настройки для области CurrentUser находятся в разделе реестра пользователя HKEY_CURRENT_USER\SOFTWARE\Microsoft\PowerShell\1\ShellIds\Microsoft.PowerShell.

Т.е. вы можете распространить нужные настройки политики исполнения скриптов через реестр с помощью Group Policy Preferences.

Отметим, что чаще всего в корпоративной среде используется ExecutionPolicy со значением AllSigned на уровне LocalMachine. Это обеспечивает максимальный баланс между безопасностью и удобством. Для личного пользования на компьютере можно использовать RemoteSigned. Ну а Bypass политику лучше использовать только для запуска отдельных задач (например для запуска скриптов через GPO или заданий планировщика).

Настройка PowerShell Execution Policy с помощью групповых политик

Вы можете настроить политику выполнения PowerShel скриптов на серверах или компьютерах домена с помощью групповых политик.
1. С помощью редактора доменных GPO (gpmc.msc) создайте новую GPO (или отредактируйте) существующую и назначьте ее на OU с компьютерами, к которым нужно применить политику запуска PowerShell скриптов;
2. В редакторе политики перейдите в раздел Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> Windows PowerShell и найдите политику Turn on Script Execution (Включить выполнение сценариев);
Аналогичная политика есть в пользовательском разделе GPO — User Configuration, но политика компьютера имеет приоритет.
Для политики доступны три значения:
- Allow only signed scripts (Разрешать только подписанные сценарии) — соответствует политике AllSigned;
- Allow local scripts and remote signed scripts (Разрешать локальные и удаленные подписанные сценарии) — соответствует политике PS RemoteSigned;
- Allow all scripts (Разрешать все сценарии) — политика Unrestricted.
Выберите необходимое значение политики, сохраните GPO и обновите политики на компьютере.
Проверьте, что для области MachinePolicy теперь действуют новые настройки выполнения.

После настройки политики выполнения через GPO вы не сможете изменить настройки политики выполнения скриптов вручную. При попытке изменить настройки Execution Policy на компьютере, на который применяется такая GPO, появится ошибка:

Set-ExecutionPolicy : Windows PowerShell updated your execution policy successfully, but the setting is overridden by a policy defined at a more specific scope. Due to the override, your shell will retain its current effective execution policy of RemoteSigned. Type "Get-ExecutionPolicy -List" to view your execution policy settings.

Set-ExecutionPolicy : Windows PowerShell updated your execution policy successfully, but the setting is overridden by a policy defined at a more specific scope

Аналогичным образом можно настроить Execution Policy на отдельном компьютере с помощью локального редактора GPO – gpedit.msc.

Способы обхода политики PowerShell Execution

Есть несколько трюков, которые могут помочь вам, когда нужно запустить на компьютере PowerShell скрипт, не изменяя настройки политики выполнения. Например, я хочу запустить простой PS1 скрипт, который поверяет, что запущен с правами администратора.

Можно с помощью Get-Content получить содержимое скрипта и перенаправить его в стандартныq поток ввода консоли PS.

Get-Content c:\ps\check_process_elevation.ps1 | PowerShell.exe -noprofile –

Либо можно запустить новый процесс powershell.exe с политикой выполнения Bypass:

powershell.exe -noprofile -executionpolicy bypass -file c:\ps\check_process_elevation.ps1

обход действия powershell execution политики

Предыдущая статья Следующая статья