ConvertTo-SecureString 没有 -AsPlainText -Force

Question

PSScriptAnalyzer 有一个 PSAvoidUsingConvertToSecureStringWithPlainText 警告。这意味着使用以下代码将失败。

$password = [System.Web.Security.Membership]::GeneratePassword(128,0)
$securePassword = ConvertTo-SecureString -String $password -AsPlainText -Force
$configCredential = New-Object System.Management.Automation.PSCredential ($username,$securePassword)

但是，关于如何在没有 -AsPlainText -Force 选项的情况下将常规字符串转换为安全字符串的指南很少（/无）。（我确实了解常规字符串的安全含义）

我怎样才能安全地实现上述目标/不惹恼 PSScriptAnalyzer（我不想压制消息）

Answer 1

我不太清楚你在问什么，但我会根据我对你的问题的不同解释给出答案。

“如何在没有 ConvertTo-SecureString 的情况下为 PSCredential 生成密码？”

您可以将常规字符串直接传递给构造函数，它会在内部将其转换为 SecureString。

$password = [System.Web.Security.Membership]::GeneratePassword(128,0)
$configCredential = New-Object PSCredential ($username, $password)

但是，使用 SecureString 值时的最佳实践是首先不要以明文形式提供秘密值 - 您必须使用 指定的原因-Force，-AsPlainText也可能是 PSScriptAnalyzer 规则首先存在的原因，是为了阻止这种做法。如果您依靠 SecureString 的安全性来缓解威胁，则应该通过避免明文$password变量来遵循这种温和的强制：

$configCredential = New-Object PSCredential ($username, [System.Web.Security.Membership]::GeneratePassword(128,0))

“如何将字符串转换为安全字符串而不触发或抑制 PSScriptAnalyzer 错误？”

如果您不关心凭证对象本身，但想要一个 SecureString 而无需使用ConvertTo-SecureString，您仍然可以（ab）使用 PSCredential 类来实现此目的。一个更容易阅读的例子：

$password = [System.Web.Security.Membership]::GeneratePassword(128,0)
$configCredential = New-Object PSCredential ($username, $password)
$securePassword = $configCredential.Password

遵循最佳实践的一句话：

$securePassword = New-Object PSCredential ($username, [System.Web.Security.Membership]::GeneratePassword(128,0)) | Select-Object -ExpandProperty Password

您还可以将字符串分成字符并将它们一一附加到 SecureString：

$securePassword = New-Object SecureString
foreach ($char in [System.Web.Security.Membership]::GeneratePassword(128,0).ToCharArray()) {
    $securePassword.AppendChar($char)
}