Πώς να διορθώσετε το σφάλμα «Execution Policy Restricted» στο Windows PowerShell

Ο ασφαλέστερος τρόπος για να διορθώσετε ένα σφάλμα «Execution Policy Restricted» στο Windows PowerShell δεν είναι να αντιγράψετε την πιο ευρεία εντολή που μπορείτε να βρείτε. Πρώτα, προσδιορίστε ποια πολιτική εκτέλεσης είναι πραγματικά ενεργή και, στη συνέχεια, επιλέξτε την πιο περιορισμένη αλλαγή που ταιριάζει σε αυτό που προσπαθείτε να εκτελέσετε.

Η τρέχουσα τεκμηρίωση της Microsoft τονίζει επίσης τη σημασία του πλαισίου έκδοσης. Η τεκμηρίωση του Windows PowerShell 5.1 παραθέτει την πολιτική Restricted ως την προεπιλεγμένη πολιτική εκτέλεσης για τους υπολογιστές-πελάτες Windows. Η τρέχουσα τεκμηρίωση του PowerShell 7.6 ορίζει την Default ως RemoteSigned στα Windows. Ωστόσο, εάν κάθε πεδίο εφαρμογής είναι Undefined, η Microsoft εξακολουθεί να τεκμηριώνει την ενεργή εναλλακτική λύση στους πελάτες Windows ως Restricted. Το πρακτικό συμπέρασμα είναι απλό: μην συμπεραίνετε την πολιτική σας από την έκδοση των Windows ή από ένα σεμινάριο. Εκτελέστε τις εντολές πολιτικής στον υπολογιστή που εμφανίζει το σφάλμα.

Αυτός ο οδηγός συγκρίνει τις κύριες διορθώσεις με βάση το πεδίο εφαρμογής, τη μόνιμη ισχύ, την επίδραση στα δικαιώματα διαχειριστή και το μοντέλο εμπιστοσύνης. Ο στόχος είναι να εκτελεστεί ένα νόμιμο σενάριο χωρίς να αποδυναμωθεί περισσότερο το σύστημα από ό,τι είναι απαραίτητο.

Τι σημαίνει πραγματικά το σφάλμα Restricted

Σύμφωνα με την πολιτική Restricted, το PowerShell επιτρέπει μεμονωμένες εντολές, αλλά δεν επιτρέπει την εκτέλεση αρχείων σεναρίων. Αυτό περιλαμβάνει σενάρια PowerShell και σχετικά αρχεία διαμόρφωσης ή σεναρίων μονάδων. Η Microsoft περιγράφει την πολιτική εκτέλεσης ως μια λειτουργία ασφαλείας που ελέγχει τις συνθήκες υπό τις οποίες φορτώνονται τα σενάρια και τα αρχεία διαμόρφωσης. Δεν αποτελεί όριο ασφαλείας. Η Microsoft σημειώνει ρητά ότι ένας χρήστης μπορεί ακόμα να πληκτρολογήσει εντολές διαδραστικά. Διαβάστε την τρέχουσα τεκμηρίωση about_Execution_Policies για το PowerShell 7.6 και την τεκμηρίωση πολιτικής εκτέλεσης του Windows PowerShell 5.1.

Το κοινό σφάλμα αναφέρει ότι το αρχείο .ps1 δεν μπορεί να φορτωθεί επειδή η εκτέλεση σεναρίων είναι απενεργοποιημένη. Καταγράψτε το ακριβές μήνυμα πριν αλλάξετε την πολιτική.

Αυτή η διάκριση είναι σημαντική. Η πολιτική εκτέλεσης μπορεί να βοηθήσει στην πρόληψη της τυχαίας εκτέλεσης σεναρίων, αλλά ο ορισμός του RemoteSigned ή του Bypass δεν καθιστά ένα σενάριο αξιόπιστο. Ελέγξτε πρώτα το σενάριο και την πηγή του.

Βήμα 1: Προσδιορίστε την ενεργή πολιτική και κάθε πεδίο εφαρμογής

Εκτελέστε αυτές τις δύο εντολές:

Get-ExecutionPolicy

Get-ExecutionPolicy -List

Η πρώτη επιστρέφει την ενεργή πολιτική για την τρέχουσα συνεδρία. Η δεύτερη παραθέτει τις πολιτικές που εφαρμόζονται στα πεδία MachinePolicy, UserPolicy, Process, CurrentUser και LocalMachine. Η Microsoft συνιστά συγκεκριμένα την εντολή Get-ExecutionPolicy -List για την προβολή των πολιτικών που μπορούν να επηρεάσουν τη συνεδρία. Δείτε το Get-ExecutionPolicy.

Ελέγξτε όλα τα πεδία εφαρμογής αντί να υποθέσετε ότι η τιμή LocalMachine είναι αυτή που ελέγχει τη συνεδρία.

Εάν το MachinePolicy ή το UserPolicy είναι ορισμένα, σταματήστε πριν προσπαθήσετε να επιβάλετε μια τοπική λύση. Αυτές οι τιμές προέρχονται από την Ομάδα Πολιτικής (Group Policy) και μπορούν να παρακάμψουν τις ρυθμίσεις πολιτικής εκτέλεσης που έγιναν με το PowerShell. Σε έναν διαχειριζόμενο υπολογιστή εργασίας, το σωστό επόμενο βήμα είναι συνήθως να ακολουθήσετε τη διαδικασία του οργανισμού ή να επικοινωνήσετε με το τμήμα IT.

Επιλέξτε τη διόρθωση με βάση την ανάγκη, όχι με βάση την πιο σύντομη εντολή

Βήμα 2: Χρησιμοποιήστε δικαιώματα διαχειριστή μόνο για αλλαγή σε όλο τον υπολογιστή

Δεν χρειάζεστε άνοιγμα προνομιακού PowerShell απλώς για να αλλάξετε το πεδίο εφαρμογής CurrentUser ή Process. Η Microsoft αναφέρει ότι απαιτείται κλιμάκωση κατά την αλλαγή της πολιτικής για τον τοπικό υπολογιστή, δηλαδή το LocalMachine. Αυτό είναι ένα χρήσιμο αντίτιμο: εάν μόνο ο λογαριασμός χρήστη σας χρειάζεται τοπικό scripting, η αλλαγή της πολιτικής για κάθε χρήστη προσθέτει πεδίο εφαρμογής χωρίς να προσθέτει όφελος.

Η εκτέλεση ως διαχειριστής είναι κατάλληλη για μια συνειδητή αλλαγή LocalMachine, αλλά είναι περιττή για τα πεδία εφαρμογής Process ή CurrentUser.

Σύσταση ανά ανάγκη: Χρησιμοποιήστε το CurrentUser για έναν λογαριασμό προγραμματιστή που εκτελεί τακτικά τοπικά δημιουργημένα σενάρια. Κρατήστε το LocalMachine για έναν διαχειριστή που θέλει συνειδητά η ίδια ρύθμιση να επηρεάζει όλους τους χρήστες.

Βήμα 3: Για τακτικό τοπικό scripting, σκεφτείτε το CurrentUser RemoteSigned

Για πολλούς προσωπικούς υπολογιστές ανάπτυξης, μια πρακτική μόνιμη επιλογή είναι:

Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy RemoteSigned

Η πολιτική RemoteSigned επιτρέπει την εκτέλεση τοπικών σεναρίων χωρίς να απαιτείται υπογραφή, ενώ τα σενάρια που επισημαίνονται ως ληφθέντα από το διαδίκτυο απαιτούν μια έγκυρη ψηφιακή υπογραφή, εκτός εάν αποδεσμεύσετε ρητά το αρχείο. Αυτό διατηρεί μια χρήσιμη διάκριση μεταξύ του κώδικα που δημιουργήσατε τοπικά και του κώδικα που αποκτήθηκε από άλλη πηγή.

Αυτή η απεικόνιση δείχνει μια εντολή RemoteSigned για όλο τον υπολογιστή επειδή το πεδίο εφαρμογής παραλείπεται. Το LocalMachine είναι το προεπιλεγμένο πεδίο εφαρμογής. Προτιμήστε ένα ρητό πεδίο εφαρμογής ώστε η επίδραση να είναι συνειδητή.

Ένα κοινό λάθος είναι η εκτέλεση της εντολής Set-ExecutionPolicy RemoteSigned χωρίς -Scope. Η Microsoft τεκμηριώνει το LocalMachine ως το προεπιλεγμένο πεδίο εφαρμογής κατά τον ορισμό της πολιτικής εκτέλεσης. Γι' αυτό είναι καλύτερο να είστε ρητοί:

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Η αλλαγή είναι άμεσα ενεργή. Το PowerShell δεν χρειάζεται να επανεκκινήσει για αλλαγές CurrentUser ή LocalMachine.

Βήμα 4: Για μια προσωρινή συνεδρία, προτιμήστε μια πολιτική με πεδίο εφαρμογής Process

Εάν αντιμετωπίζετε προβλήματα ή εκτελείτε ένα αξιόπιστο τοπικό σενάριο μία φορά, αποφύγετε μια μόνιμη αλλαγή χρήστη ή υπολογιστή. Μια πιο περιορισμένη επιλογή είναι:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned

Το πεδίο εφαρμογής Process ισχύει μόνο για την τρέχουσα συνεδρία PowerShell. Η Microsoft αναφέρει ότι αποθηκεύεται στη μεταβλητή περιβάλλοντος $Env:PSExecutionPolicyPreference και διαγράφεται όταν κλείνει η διαδικασία.

Εάν μια μεγαλύτερη εφαρμογή, ένα πρόγραμμα εγκατάστασης ή ένα ελεγχόμενο περιβάλλον αυτοματοποίησης έχει ήδη το δικό του μοντέλο ασφαλείας, το PowerShell παρέχει επίσης την επιλογή Bypass:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

Το Bypass με πεδίο εφαρμογής Process εξαφανίζεται όταν κλείνει η διαδικασία PowerShell, αλλά αφαιρεί επίσης τις προειδοποιήσεις και τον αποκλεισμό πολιτικής εκτέλεσης για αυτήν τη συνεδρία.

Αντίτιμο: Το πεδίο εφαρμογής Process ελαχιστοποιεί τη μόνιμη ισχύ, αλλά το Bypass είναι πιο ευρύ από το RemoteSigned μέσα σε αυτήν τη συνεδρία. Η Microsoft περιγράφει το Bypass ως κάτι που δεν αποκλείει τίποτα και δεν εμφανίζει προειδοποιήσεις ή προτροπές, και αναφέρει ότι προορίζεται για σενάρια όπου μια άλλη εφαρμογή παρέχει το μοντέλο ασφαλείας. Για μια κανονική διαδραστική συνεδρία αντιμετώπισης προβλημάτων, χρησιμοποιήστε πρώτα το Process RemoteSigned, εκτός εάν έχετε έναν συγκεκριμένο λόγο για το Bypass.

Για μια ξεχωριστή διαδικασία Windows PowerShell μία φορά, μπορείτε επίσης να εκκινήσετε:

powershell.exe -ExecutionPolicy RemoteSigned -File .\script.ps1

Για το PowerShell 7, το εκτελέσιμο αρχείο είναι το pwsh.exe. Μια ρύθμιση πολιτικής εκτέλεσης από τη γραμμή εντολών δεν παρακάμπτει μια πολιτική εκτέλεσης που επιβάλλεται από την Ομάδα Πολιτικής.

Βήμα 5: Εάν το RemoteSigned αποκλείει ένα ληφθέν σενάριο, αποδεσμεύστε μόνο αυτό το αρχείο

Το RemoteSigned αντιμετωπίζει διαφορετικά τα αρχεία που επισημαίνονται ως προερχόμενα από το διαδίκτυο. Η Microsoft τεκμηριώνει την εντολή Unblock-File ως την αφαίρεση αυτής της επισήμανσης ζώνης διαδικτύου, επιτρέποντας σε ένα ελεγμένο μη υπογεγραμμένο σενάριο να εκτελεστεί υπό την πολιτική RemoteSigned.

Πρώτα επιθεωρήστε το σενάριο. Εάν εμπιστεύεστε την πηγή και έχετε ελέγξει τα περιεχόμενα, εκτελέστε:

Unblock-File -Path .\script.ps1

Μπορείτε επίσης να χρησιμοποιήσετε το πλαίσιο ελέγχου Unblock στο παράθυρο Ιδιοτήτων του αρχείου. Η Microsoft δηλώνει ότι η εντολή Unblock-File εκτελεί την ίδια βασική λειτουργία. Δείτε το Unblock-File.

Η αποδέσμευση ενός ελεγμένου ληφθέντος σεναρίου είναι πιο περιορισμένη από την αποδυνάμωση της πολιτικής για κάθε σενάριο στον υπολογιστή.

Μπορείτε να ελέγξετε εάν ένα αρχείο έχει μια εναλλακτική ροή δεδομένων Zone.Identifier με:

Get-Item .\script.ps1 -Stream Zone.Identifier -ErrorAction SilentlyContinue

Η Microsoft σημειώνει ότι οι μέθοδοι λήψης δεν επισημαίνουν όλα τα αρχεία με τον ίδιο τρόπο, οπότε η απουσία αυτής της ροής δεν αποτελεί απόδειξη ότι ένα σενάριο είναι ασφαλές.

Βήμα 6: Χρησιμοποιήστε το AllSigned όταν ο οργανισμός έχει ροή εργασίας υπογραφής

Η πολιτική AllSigned απαιτεί όλα τα σενάρια και τα αρχεία διαμόρφωσης να είναι υπογεγραμμένα από έναν αξιόπιστο εκδότη, συμπεριλαμβανομένων των σεναρίων που δημιουργούνται τοπικά. Αυτό παρέχει σε έναν οργανισμό μια συνεπή ροή εργασίας εμπιστοσύνης εκδοτών, αλλά δημιουργεί επίσης λειτουργική επιβάρυνση: τα σενάρια χρειάζονται υπογραφές Authenticode και οι χρήστες πρέπει να εμπιστεύονται τους σχετικούς εκδότες.

Η τεκμηρίωση about_Signing της Microsoft εξηγεί πώς το PowerShell ελέγχει τις υπογραφές σεναρίων και πώς λειτουργούν οι προτροπές αξιόπιστων εκδοτών.

Σύσταση ανά ανάγκη: Το AllSigned έχει νόημα όταν ο οργανισμός σας διαθέτει ήδη πιστοποιητικά υπογραφής κώδικα, ελέγχους δημοσίευσης και μια διαδικασία για την ενημέρωση υπογεγραμμένων σεναρίων. Για έναν μεμονωμένο προγραμματιστή που γράφει τοπικά σενάρια εργαλείων, το RemoteSigned συνήθως περιλαμβάνει λιγότερες τριβές, διατηρώντας παράλληλα τον έλεγχο προέλευσης από το διαδίκτυο.

Βήμα 7: Μην αντιμάχεστε την Ομάδα Πολιτικής σε έναν διαχειριζόμενο υπολογιστή

Το PowerShell εκθέτει δύο πεδία εφαρμογής πολιτικής που προέρχονται από την Ομάδα Πολιτικής: MachinePolicy και UserPolicy. Η τεκμηρίωση της Ομάδας Πολιτικής της Microsoft αναφέρει ότι η ρύθμιση Turn on Script Execution μπορεί να επιβάλει συμπεριφορά Restricted, RemoteSigned ή AllSigned για διαχειριζόμενους χρήστες και υπολογιστές. Η ρύθμιση βρίσκεται υπό:

Administrative Templates\Windows Components\Windows PowerShell

Δείτε το about_Group_Policy_Settings.

Εάν η εντολή Get-ExecutionPolicy -List εμφανίζει ένα ορισμένο MachinePolicy ή UserPolicy, μια τοπική εντολή Set-ExecutionPolicy μπορεί να μην σας δώσει την αναμενόμενη ενεργή συμπεριφορά. Η πρακτική λύση είναι να ζητήσετε την κατάλληλη πολιτική από τον διαχειριστή, να χρησιμοποιήσετε ένα υπογεγραμμένο σενάριο εάν απαιτείται ή να χρησιμοποιήσετε μια εγκεκριμένη μέθοδο ανάπτυξης.

Βήμα 8: Επαναφέρετε τη ρύθμιση που αλλάξατε πραγματικά και, στη συνέχεια, επαληθεύστε

Πριν αλλάξετε ένα μόνιμο πεδίο εφαρμογής, καταγράψτε την υπάρχουσα τιμή του:

Get-ExecutionPolicy -Scope CurrentUser

Get-ExecutionPolicy -Scope LocalMachine

Εάν αργότερα χρειαστεί να αφαιρέσετε μια τιμή πολιτικής που ορίσατε, η Microsoft τεκμηριώνει τον ορισμό αυτού του πεδίου εφαρμογής σε Undefined:

Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy Undefined

Μην εκτελείτε τυφλά την εντολή Set-ExecutionPolicy Restricted μόνο επειδή ένα στιγμιότυπο οθόνης την εμφανίζει. Χωρίς πεδίο εφαρμογής, η εντολή στοχεύει το LocalMachine από προεπιλογή και το «Restricted» μπορεί να μην ήταν η προηγούμενη τιμή αυτού του πεδίου εφαρμογής.

Το στιγμιότυπο οθόνης απεικονίζει μια αλλαγή Restricted, αλλά μια πραγματική επαναφορά πρέπει να αποκαταστήσει το πεδίο εφαρμογής και την τιμή που καταγράψατε, αντί να μαντέψετε την προηγούμενη διαμόρφωση.

Τέλος, επαληθεύστε τόσο την ενεργή πολιτική όσο και το σενάριο:

Get-ExecutionPolicy

Get-ExecutionPolicy -List

.\script.ps1

Μια επιτυχής εκτέλεση σεναρίου επιβεβαιώνει ότι το άμεσο σύμπτωμα έχει επιλυθεί. Ελέγξτε ξανά τη λίστα πολιτικών για να βεβαιωθείτε ότι δεν αφήσατε ένα ευρύτερο πεδίο εφαρμογής αλλαγμένο ακούσια.

Ποια διόρθωση πρέπει να επιλέξετε;

Συνηθισμένα λάθη που δημιουργούν μεγαλύτερο πρόβλημα από το αρχικό σφάλμα

• Ορισμός Unrestricted ή Bypass μόνιμα μόνο για να εκτελεστεί ένα σενάριο. Αυτό διευρύνει τι μπορεί να εκτελεστεί, ενώ μια πιο περιορισμένη αλλαγή Process, CurrentUser ή συγκεκριμένη για αρχείο μπορεί να λύσει το πρόβλημα.
• Εκτέλεση κάθε εντολής ως Διαχειριστής. Οι αλλαγές CurrentUser και Process δεν χρειάζονται αλλαγή πολιτικής LocalMachine.
• Αγνόηση της Ομάδας Πολιτικής. Εάν η συσκευή διαχειρίζεται, η πολιτική μπορεί να είναι συνειδητή και η τοπική αλλαγή ενός άλλου πεδίου εφαρμογής δεν αντικαθιστά τον οργανωτικό έλεγχο.
• Αποδέσμευση ενός σεναρίου χωρίς να το διαβάσετε. Το Unblock-File αφαιρεί τον αποκλεισμό προέλευσης από το διαδίκτυο. Δεν επικυρώνει τον κώδικα.
• Υποθέτοντας ότι ένα υπογεγραμμένο σενάριο είναι αυτόματα αθώο. Η Microsoft σημειώνει ότι ο υπογεγραμμένος κώδικας μπορεί ακόμα να είναι κακόβουλος. Οι υπογραφές καθιερώνουν πληροφορίες εκδότη και ακεραιότητας, όχι εγγύηση ασφαλούς συμπεριφοράς.
• Ξεχνώντας ποιο πεδίο εφαρμογής αλλάξατε. Μια εντολή χωρίς -Scope μπορεί να επηρεάσει το LocalMachine, ενώ μια αλλαγή Process εξαφανίζεται κατά την έξοδο.

Το συμπέρασμα

Για τα περισσότερα προσωπικά σενάρια Windows, το CurrentUser RemoteSigned είναι μια λογική μόνιμη επιλογή όταν εκτελείτε τακτικά τοπικά δημιουργημένα σενάρια, ενώ το Unblock-File είναι η πιο περιορισμένη επιλογή για ένα ελεγμένο σενάριο που λήφθηκε από το διαδίκτυο. Για μια προσωρινή συνεδρία αντιμετώπισης προβλημάτων, το Process RemoteSigned ελαχιστοποιεί τη μόνιμη ισχύ. Το Bypass έχει έναν νόμιμο ρόλο στην ελεγχόμενη αυτοματοποίηση, αλλά το αντίτιμό του είναι ότι ο αποκλεισμός πολιτικής εκτέλεσης και οι προειδοποιήσεις αφαιρούνται για αυτήν τη διαδικασία. Σε διαχειριζόμενους υπολογιστές, η Ομάδα Πολιτικής πρέπει να θεωρείται η αρχή και όχι ένα εμπόδιο που πρέπει να παρακαμφθεί.

Η καλύτερη διόρθωση δεν είναι λοιπόν μία πολιτική για όλους. Είναι το μικρότερο πεδίο εφαρμογής και η λιγότερο επιτρεπτική συμπεριφορά που εξακολουθεί να υποστηρίζει το αξιόπιστο σενάριο που χρειάζεστε να εκτελέσετε.