Řešení problémů se spuštěním skriptu PowerShell v systému Windows Server 2008 R2

Odstraňování problémů s omezením spouštění skriptů PowerShell

Při práci se systémem Windows Server 2008 R2 se mohou uživatelé setkat s chybou indikující, že je v systému zakázáno provádění skriptů PowerShell. K tomuto problému může dojít při pokusu o spuštění skriptu přes cmd.exe, a to i po nastavení zásady provádění na Neomezené.

Navzdory potvrzení, že je spouštěcí politika nastavena na Neomezené, se skripty stále nemusí spustit, což způsobuje frustraci a brání pokroku. Tato příručka prozkoumá běžné příčiny tohoto problému a poskytne kroky k zajištění úspěšného spuštění skriptu.

Pochopení a implementace zásad spouštění skriptů v prostředí PowerShell

Poskytnuté skripty mají za cíl vyřešit problém se zakázáním provádění skriptů PowerShell v systému Windows Server 2008 R2. První skript nastaví zásady provádění na **Vynechat** pro aktuální relaci PowerShellu pomocí **Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force**. Tento příkaz umožňuje dočasně spouštět všechny skripty bez omezení. Skript poté přejde do adresáře obsahujícího skript **Management_Install.ps1** a spustí jej pomocí **powershell .Management_Install.ps1**. Tento přístup zajišťuje, že změna zásad provádění je pouze dočasná a neovlivní celkový stav zabezpečení systému.

Druhý skript, dávkový soubor, také nastavuje spouštěcí politiku na **Vynechání**, ale dělá to z příkazového řádku. K tomu používá **powershell -Command "Set-ExecutionPolicy Bypass -Scope Process -Force"**. Po změně zásad provádění skript přejde do adresáře skriptů a spustí skript PowerShell pomocí **powershell -File .Management_Install.ps1**. Dávkový skript končí příkazem **pause**, aby zůstalo okno příkazového řádku otevřené, což uživateli umožňuje vidět jakýkoli výstup nebo chybové zprávy. Tato metoda je užitečná pro automatizaci procesu a jeho integraci do větších dávkových procesů.

Podepisování skriptů a zabezpečení v PowerShellu

Třetí příklad skriptu ukazuje, jak podepsat skript PowerShellu, aby byl v souladu s přísnějšími zásadami provádění. Nejprve se pomocí **New-SelfSignedCertificate** vytvoří certifikát s vlastním podpisem. Tento certifikát lze poté exportovat pomocí **Export-Certificate** a importovat do důvěryhodných úložišť certifikátů pomocí **Import-Certificate**. Importem certifikátu do úložišť **TrustedPublisher** a **Root** bude systém důvěřovat skriptům podepsaným tímto certifikátem. Skript **Management_Install.ps1** je poté podepsán pomocí **Set-AuthenticodeSignature**.

Podepisování skriptů zajišťuje, že se v systému mohou spouštět pouze důvěryhodné skripty, což poskytuje další vrstvu zabezpečení. Tento přístup je užitečný zejména v prostředích s přísnými bezpečnostními požadavky, kde jsou zásady provádění nastaveny na **AllSigned** nebo **RemoteSigned**. Podepsáním skriptu mohou správci zajistit, že se skripty nebude manipulováno a že pocházejí z důvěryhodného zdroje, čímž se zmírní potenciální bezpečnostní rizika. Tato metoda kombinuje zabezpečení s funkčností a umožňuje spouštění nezbytných skriptů při zachování integrity systému.

# Ensure the script execution policy is set to Bypass
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force

# Navigate to the script directory
cd "C:\Projects\Microsoft.Practices.ESB\Source\Samples\Management Portal\Install\Scripts"

# Execute the PowerShell script
powershell .\Management_Install.ps1

@echo off

:: Set PowerShell execution policy to Bypass
powershell -Command "Set-ExecutionPolicy Bypass -Scope Process -Force"

:: Navigate to the script directory
cd "C:\Projects\Microsoft.Practices.ESB\Source\Samples\Management Portal\Install\Scripts"

:: Run the PowerShell script
powershell -File .\Management_Install.ps1

pause

# Sample script content
Write-Output "Executing Management Install Script"

# Save this script as Management_Install.ps1

# To sign the script, follow these steps:
# 1. Create a self-signed certificate (if you don't have one)
$cert = New-SelfSignedCertificate -DnsName "PowerShellLocalCert" -CertStoreLocation "Cert:\LocalMachine\My"

# 2. Export the certificate to a file
Export-Certificate -Cert $cert -FilePath "C:\PowerShellLocalCert.cer"

# 3. Import the certificate to Trusted Publishers and Trusted Root Certification Authorities
Import-Certificate -FilePath "C:\PowerShellLocalCert.cer" -CertStoreLocation "Cert:\LocalMachine\TrustedPublisher"
Import-Certificate -FilePath "C:\PowerShellLocalCert.cer" -CertStoreLocation "Cert:\LocalMachine\Root"

# 4. Sign the script with the certificate
Set-AuthenticodeSignature -FilePath .\Management_Install.ps1 -Certificate $cert

Zajištění souladu se zásadami provádění skriptů a zabezpečení systému

Při správě systému Windows Server 2008 R2 je zásadní porozumět různým zásadám spouštění dostupným v prostředí PowerShell a tomu, jak ovlivňují spouštění skriptů. Zásady spouštění prostředí PowerShell jsou navrženy tak, aby zabránily spouštění potenciálně škodlivých skriptů. Čtyři hlavní zásady jsou **Restricted**, **AllSigned**, **RemoteSigned** a **Unrestricted**. **Omezeno** je výchozí zásada a neumožňuje spouštění žádných skriptů. **AllSigned** vyžaduje, aby všechny skripty a konfigurační soubory byly podepsány důvěryhodným vydavatelem. **RemoteSigned** vyžaduje, aby všechny skripty a konfigurační soubory stažené z internetu byly podepsány důvěryhodným vydavatelem, ale umožňuje spouštění lokálně vytvořených skriptů bez podpisu.

Pochopení těchto zásad pomáhá správcům vybrat správnou úroveň zabezpečení pro jejich prostředí. Ve scénářích, kde je třeba skripty spouštět pravidelně, může být nastavení zásady na **Neomezeno** riskantní, protože umožňuje spouštění všech skriptů bez jakýchkoli omezení. Místo toho by správci měli zvážit použití **RemoteSigned** nebo **AllSigned**, aby vyvážili zabezpečení a funkčnost. Podepisováním skriptů a správou certifikátů mohou správci zajistit, aby na jejich systémech běžely pouze důvěryhodné skripty, čímž se sníží riziko spuštění škodlivého kódu.