启用不受限制的 PowerShell 远程处理的安全问题

Question

我想向我组织的 IT 部门提议，我们在生产机器上启用 PowerShell 远程处理，以便更轻松地管理它们。我觉得不受限制的访问比处理签名要容易得多：

>Set-ExecutionPolicy Unrestricted

这是生产机器的一大禁忌吗？这会打开一个主要的安全漏洞，还是会安全地仅限于那些只对机器具有管理权限的人？

Answer 1

就个人而言，我会用RemoteSigned而不是Unrestricted. 您可以在此处阅读差异。

这是重要的片段：

-- RemoteSigned：要求所有从 Internet 下载的脚本和配置文件都由受信任的发布者签名。

-- 无限制：加载所有配置文件并运行所有脚本。如果您运行从 Internet 下载的未签名脚本，则会在运行前提示您获得许可。

RemoteSigned 仍可让您在不签名的情况下运行内部脚本，但必须对通过 Internet 分发的项目进行签名。

说了这么多，你真的需要在服务器上运行实际的脚本吗？如果您从工作站运行修改服务器的管理任务，则不需要设置任何这些任务。这些设置仅影响在相关机器上本地运行的脚本。