Giải quyết các sự cố thực thi tập lệnh PowerShell trên Windows Server 2008 R2

Khắc phục sự cố hạn chế thực thi tập lệnh PowerShell

Khi làm việc với Windows Server 2008 R2, người dùng có thể gặp phải lỗi cho biết việc thực thi tập lệnh PowerShell bị tắt trên hệ thống. Sự cố này có thể phát sinh khi cố chạy tập lệnh qua cmd.exe, ngay cả sau khi đặt chính sách thực thi thành Không giới hạn.

Mặc dù xác nhận rằng chính sách thực thi được đặt thành Không giới hạn, các tập lệnh vẫn có thể không thực thi được, gây ra sự thất vọng và cản trở tiến trình. Hướng dẫn này sẽ khám phá những nguyên nhân phổ biến của sự cố này và cung cấp các bước để đảm bảo thực thi tập lệnh thành công.

Hiểu và triển khai các chính sách thực thi tập lệnh trong PowerShell

Các tập lệnh được cung cấp nhằm mục đích giải quyết vấn đề thực thi tập lệnh PowerShell bị vô hiệu hóa trên Windows Server 2008 R2. Tập lệnh đầu tiên đặt chính sách thực thi thành **Bỏ qua** cho phiên PowerShell hiện tại bằng cách sử dụng **Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force**. Lệnh này cho phép tạm thời tất cả các tập lệnh chạy mà không bị hạn chế. Sau đó, tập lệnh sẽ điều hướng đến thư mục chứa tập lệnh **management_Install.ps1** và thực thi tập lệnh đó bằng cách sử dụng **powershell .management_Install.ps1**. Cách tiếp cận này đảm bảo rằng việc thay đổi chính sách thực thi chỉ là tạm thời và không ảnh hưởng đến trạng thái bảo mật chung của hệ thống.

Tập lệnh thứ hai, một tệp bó, cũng đặt chính sách thực thi thành **Bỏ qua** nhưng thực hiện như vậy từ dòng lệnh. Nó sử dụng **powershell -Command "Set-ExecutionPolicy Bypass -Scope Process -Force"** để đạt được điều này. Sau khi thay đổi chính sách thực thi, tập lệnh sẽ điều hướng đến thư mục tập lệnh và chạy tập lệnh PowerShell bằng cách sử dụng **powershell -File .management_Install.ps1**. Tập lệnh bó kết thúc bằng lệnh **tạm dừng** để giữ cửa sổ nhắc lệnh mở, cho phép người dùng xem bất kỳ thông báo lỗi hoặc đầu ra nào. Phương pháp này rất hữu ích để tự động hóa quy trình và tích hợp nó vào các quy trình hàng loạt lớn hơn.

Ký tập lệnh và bảo mật trong PowerShell

Ví dụ tập lệnh thứ ba minh họa cách ký tập lệnh PowerShell để tuân thủ các chính sách thực thi chặt chẽ hơn. Đầu tiên, chứng chỉ tự ký được tạo bằng cách sử dụng **Chứng chỉ tự ký mới**. Sau đó, chứng chỉ này có thể được xuất cùng với **Chứng chỉ xuất khẩu** và được nhập vào các kho chứng chỉ đáng tin cậy bằng cách sử dụng **Chứng chỉ nhập khẩu**. Bằng cách nhập chứng chỉ vào kho lưu trữ **TrustedPublisher** và **Root**, hệ thống sẽ tin cậy các tập lệnh được ký bằng chứng chỉ này. Sau đó, tập lệnh **Quản lý_Install.ps1** được ký bằng cách sử dụng **Set-AuthenticodeSignature**.

Việc ký tập lệnh đảm bảo rằng chỉ những tập lệnh đáng tin cậy mới có thể thực thi trên hệ thống, cung cấp thêm một lớp bảo mật. Cách tiếp cận này đặc biệt hữu ích trong các môi trường có yêu cầu bảo mật nghiêm ngặt trong đó các chính sách thực thi được đặt thành **AllSigned** hoặc **RemoteSigned**. Bằng cách ký vào tập lệnh, quản trị viên có thể đảm bảo rằng tập lệnh không bị giả mạo và đến từ một nguồn đáng tin cậy, do đó giảm thiểu rủi ro bảo mật tiềm ẩn. Phương pháp này kết hợp bảo mật với chức năng, cho phép chạy các tập lệnh cần thiết trong khi vẫn duy trì tính toàn vẹn của hệ thống.

# Ensure the script execution policy is set to Bypass
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force

# Navigate to the script directory
cd "C:\Projects\Microsoft.Practices.ESB\Source\Samples\Management Portal\Install\Scripts"

# Execute the PowerShell script
powershell .\Management_Install.ps1

@echo off

:: Set PowerShell execution policy to Bypass
powershell -Command "Set-ExecutionPolicy Bypass -Scope Process -Force"

:: Navigate to the script directory
cd "C:\Projects\Microsoft.Practices.ESB\Source\Samples\Management Portal\Install\Scripts"

:: Run the PowerShell script
powershell -File .\Management_Install.ps1

pause

# Sample script content
Write-Output "Executing Management Install Script"

# Save this script as Management_Install.ps1

# To sign the script, follow these steps:
# 1. Create a self-signed certificate (if you don't have one)
$cert = New-SelfSignedCertificate -DnsName "PowerShellLocalCert" -CertStoreLocation "Cert:\LocalMachine\My"

# 2. Export the certificate to a file
Export-Certificate -Cert $cert -FilePath "C:\PowerShellLocalCert.cer"

# 3. Import the certificate to Trusted Publishers and Trusted Root Certification Authorities
Import-Certificate -FilePath "C:\PowerShellLocalCert.cer" -CertStoreLocation "Cert:\LocalMachine\TrustedPublisher"
Import-Certificate -FilePath "C:\PowerShellLocalCert.cer" -CertStoreLocation "Cert:\LocalMachine\Root"

# 4. Sign the script with the certificate
Set-AuthenticodeSignature -FilePath .\Management_Install.ps1 -Certificate $cert

Đảm bảo tuân thủ chính sách thực thi tập lệnh và bảo mật hệ thống

Khi quản lý Windows Server 2008 R2, điều quan trọng là phải hiểu các chính sách thực thi khác nhau có sẵn trong PowerShell và cách chúng tác động đến việc thực thi tập lệnh. Chính sách thực thi PowerShell được thiết kế để ngăn chặn việc thực thi các tập lệnh có khả năng gây hại. Bốn chính sách chính là **Bị hạn chế**, **AllSigned**, **RemoteSigned** và **Unrestricted**. **Bị hạn chế** là chính sách mặc định và không cho phép bất kỳ tập lệnh nào chạy. **AllSigned** yêu cầu tất cả tập lệnh và tệp cấu hình phải được nhà xuất bản đáng tin cậy ký. **RemoteSigned** yêu cầu tất cả các tập lệnh và tệp cấu hình được tải xuống từ internet phải có chữ ký của nhà xuất bản đáng tin cậy nhưng cho phép các tập lệnh được tạo cục bộ chạy mà không cần chữ ký.

Việc hiểu rõ các chính sách này sẽ giúp quản trị viên chọn mức độ bảo mật phù hợp cho môi trường của họ. Trong các trường hợp cần thực thi tập lệnh thường xuyên, việc đặt chính sách thành **Không hạn chế** có thể gặp rủi ro vì nó cho phép tất cả các tập lệnh chạy mà không có bất kỳ hạn chế nào. Thay vào đó, quản trị viên nên cân nhắc sử dụng **RemoteSigned** hoặc **AllSigned** để cân bằng giữa bảo mật và chức năng. Bằng cách ký tập lệnh và quản lý chứng chỉ, quản trị viên có thể đảm bảo rằng chỉ những tập lệnh đáng tin cậy mới chạy trên hệ thống của họ, giảm nguy cơ chạy mã độc.