☰

将用户帐户限制为“仅”远程 Powershell 会话

tag-icon • tag-icon active-directory powershell
将用户帐户限制为“仅”远程 Powershell 会话

是否可以仅委派足够的权限给用户，以便用户只能使用远程 Powershell 会话？

我有一组有限的脚本，我想使用指定的服务帐户从中心位置针对一组服务器运行这些脚本。

我不希望这个服务用户能够执行诸如登录计算机之类的操作。

这可能吗？删除登录权限是否也会删除执行远程 Powershell 会话的权限？

答案1

Powershell Remoting/WinRM 会话是网络登录。因此，如果您想阻止该用户登录计算机交互式地，拒绝他或她登录控制台的能力，并拒绝通过远程桌面登录的能力。通过本地安全策略或组策略（如果计算机在域中）执行此操作。这意味着用户帐户仍然能够建立 Powershell 远程会话，但无法以交互方式登录同一台计算机。

答案2

除了拒绝交互式登录之外，您可能还希望限制远程用户访问远程端点暴露了一个受限的运行空间。

本质上，你在远程系统上配置一个端点，当连接到该端点时，它会从会话中删除所有 cmdlet 并导出仅有的您已列入白名单的 cmdlet。这还允许您使用附加的输入验证和日志记录来公开代理功能，而不是让远程用户“完全控制”。

它需要一些工作来设置，但最终会减少远程用户意外破坏某些东西的可能性。

它与 PowerShell v5“JEA”模块（Just-Enough-Admin）使用的方法相同，但你可以从 3.0 版开始实现受限运行空间

相关内容