Automatizacija u PowerShellu bez administratorskih privilegija

Ako se pitate kako automatizirati zadatke u PowerShellu bez administratorskih privilegija , niste sami. To je vrlo čest scenario: trebate pokretati skripte, zakazivati ​​čišćenje, generirati izvještaje ili upravljati Microsoft 365, ali nemate povišene privilegije na računaru ili ih jednostavno ne želite koristiti iz sigurnosnih razloga.

Dobra vijest je da, uz dobro razumijevanje alata koje Windows nudi (PowerShell, Task Scheduler i neke opcije komandne linije), možete postaviti prilično moćan sistem automatizacije bez korištenja administratorskog računa . Međutim, potrebno je u potpunosti razumjeti kontekst u kojem se skripte izvršavaju, ograničenja s kojima se suočavate bez povišenih privilegija i kako konfigurirati sve kako biste spriječili kvarove od samog početka.

Pokrenite PowerShell bez administratorskih prava

Prije nego što se upustimo u naprednu automatizaciju, važno je razumjeti kako otvoriti PowerShell bez povećanja privilegija, iako se čini da vas Windows stalno podstiče na "Pokreni kao administrator". U mnogim korporativnim ili dijeljenim okruženjima, ovo jednostavno nije opcija.

Postoji vrlo koristan trik zasnovan na naredbi `runas` koji vam omogućava pokretanje PowerShell sesije s ograničenim nivoom povjerenja, idealno za rad bez povećanja privilegija čak i ako vaš korisnički račun ima iste. Da biste to učinili, jednostavno slijedite ove osnovne korake:

1. Otvorite komandni redak (cmd) u normalnom načinu rada, bez korištenja opcije "Pokreni kao administrator".

2. U cmd prozoru upišite ovu naredbu i pritisnite Enter:

runas /level povjerenja:0x20000 powershell

Ova naredba pokreće novu PowerShell sesiju s ograničenijim nivoom povjerenja , što vam pomaže da izbjegnete određene probleme kada nešto ne radi ispravno u konzoli s povišenim privilegijama. Klasičan primjer je instaliranje korisničkih alata poput Spicetifyja : ako pokušate preuzeti ili konfigurirati ga iz PowerShell sesije s administratorskim privilegijama, proces može propasti, dok iz sesije s normalnim dozvolama radi bez problema.

Ovaj pristup se veoma dobro uklapa u filozofiju najmanjih privilegija : dozvole se povećavaju samo kada je to apsolutno neophodno i većina automatizacije se izvršava u istom kontekstu koji bi koristio standardni ili svakodnevni radni korisnik.

PowerShell kao osnova moderne automatizacije

PowerShell je mnogo više od obične plave konzole: to je okvir za automatizaciju i skriptni jezik dizajniran za upravljanje Windows sistemima, a u novijim verzijama (PowerShell Core) i Linuxom i macOS-om. Radi s cmdletsima (specijaliziranim naredbama), objektima i cijevima, omogućavajući vam da izgradite složene zadatke od vrlo malih, višekratno upotrebljivih dijelova.

Razlika u poređenju s klasičnim komandnim retkom je ogromna: pomoću PowerShella možete lančano povezivati ​​komande, manipulisati objektima, ispitivati ​​zapisnike, servise, IIS, SQL, Microsoft 365 i praktično bilo koji Microsoftov ili proizvod treće strane s kompatibilnim modulima. Ovo ga čini idealnim alatom za automatizaciju svega, od jednostavnog čišćenja privremenih datoteka do kompletnog implementacije web aplikacija.

Važno je razlikovati PowerShell (okruženje) od PowerShell skripte . Okruženje je konzola ili terminal gdje upisujete interaktivne naredbe, dok je skripta .ps1 datoteka koja sadrži uređeni niz instrukcija, uvjeta, funkcija i varijabli kreiranih za izvršavanje repetitivnih zadataka bez potrebe za upisivanjem svega svaki put.

Ovi PowerShell skripti su osnova mnogih IT strategija automatizacije : masovno upravljanje korisnicima, implementacija ažuriranja, praćenje sistema, automatsko generiranje izvještaja, redovni zadaci čišćenja i još mnogo toga. Najbolje od svega je što se mnogi od ovih scenarija mogu pokrenuti bez direktnog pristupa lokalnom administratorskom računu, sve dok skripta pristupa samo resursima kojima vaš korisnik već ima pristup.

Konfigurišite PowerShell okruženje i pravila izvršavanja

Da bi automatizacija funkcionisala glatko, bitno je razumjeti kako se ponaša PowerShell-ova ExecutionPolicy . Ova politika definira koje se skripte mogu izvršavati i odakle, i često je prva prepreka na koju se iko nailazi kada počinje s automatizacijom.

Najčešće politike implementacije su:

• OgraničenoOvo je zadana postavka u mnogim instalacijama. Dozvoljene su samo interaktivne naredbe; .ps1 skripte su blokirane. To je najsigurnija opcija, ali u praksi, Sprečava bilo kakvu automatizaciju zasnovanu na skriptama.
• AllSignedMogu se izvršavati samo skripte digitalno potpisane od strane pouzdanog izdavača. Ovo je pogodno za okruženja u kojima želite stroga kontrola nad kodom koji se odvija u timovima.
• RemoteSignedSkripte preuzete s interneta ili udaljenih lokacija moraju biti potpisane, ali se mogu izvršavati i nepotpisane lokalne skripte. Ovo je prilično uravnotežena politika i vrlo uobičajena u korporativnim okruženjima.
• Neograničeno: omogućava izvršavanje bilo koje skripte, bilo da je potpisana ili ne. Nije preporuceno za proizvodnju jer izlaže sistem visokom riziku.

Trenutnu politiku možete provjeriti na sljedeći način:

Get-ExecutionPolicy

I izmijenite ga (ako vaš račun ima dozvole za to) koristeći Set-ExecutionPolicy , na primjer:

Set-ExecutionPolicy RemoteSigned

Ako niste administrator, možda nećete moći promijeniti politiku na nivou računara, ali je možete prilagoditi na nivou korisnika ili procesa, ovisno o konfiguraciji vaše organizacije. U svakom slučaju, prilikom planiranja automatizacije bez povećanih privilegija, pretpostavite da je politika izvršavanja još jedno sigurnosno ograničenje s kojim ćete morati živjeti i dizajnirajte svoje skripte u skladu s tim.

Jednostavno kreirajte i uređujte PowerShell skripte

Iako skripte možete pisati u bilo kojem tekstualnom editoru, mnogo je praktičnije koristiti alate s isticanjem sintakse i pomoćnim programerima , posebno kada skripte rastu i počnu uključivati ​​funkcije, module i složenu logiku.

Najčešće opcije za rad sa PowerShell skriptama su:

• Visual Studio Code (VS Code)Danas je to opcija koju preporučuje Microsoft. Besplatna je, lagana i, uz instalirano službeno PowerShell proširenje, nudi automatsko dovršavanje (IntelliSense), detaljno otklanjanje grešaka, isječke koda, integraciju s Gitom i integrirani terminal.
• PowerShell ISEOvo je klasično integrirano okruženje koje dolazi s Windows PowerShellom 5.1 i ranijim verzijama. Iako se smatra starijim u usporedbi s VS Codeom, i dalje se široko koristi u mnogim okruženjima.
• Notepad ili drugi jednostavni editori: pogodno za male ili brze skripte, iako gubite mnoge korisne funkcije koje olakšavaju život kada se kod zakomplikuje.

U svim slučajevima, osnovni tok je sličan: kreirate novu datoteku, napišete PowerShell kod i sačuvate je s ekstenzijom . .ps1 a zatim ga pokrenete iz konzole. Na primjer, ako skriptu sačuvate u C:\Scripts\MiScript.ps1Možete ga pokrenuti iz PowerShella na sljedeći način:

& "C:\Scripts\MiScript.ps1"

Da biste sve ovo uskladili s automatizacijom, morat ćete razmisliti o tome kako će se ta skripta pozivati ​​po rasporedu bez korištenja administratorskih privilegija, nešto što ćemo kasnije vidjeti s Planerom zadataka.

Automatizirajte pomoću Windows planera zadataka i PowerShella

Windows Task Scheduler je alat koji vam omogućava automatsko pokretanje PowerShell skripti na osnovu rasporeda, događaja ili sistemskih uslova. Iako ga mnogi vodiči koriste za zadatke s administratorskim privilegijama, on je također savršeno pogodan za automatizaciju u standardnom korisničkom kontekstu, pod uslovom da je zadatak konfigurisan s odgovarajućim računom.

Biblioteka Planera zadataka organizira sve zadatke u mape i za svaku od njih nudi nekoliko ključnih kartica:

• Opšti: ime, opis, račun pod kojim se pokreće i sigurnosne opcije (na primjer, da li se pokreće čak i ako korisnik nije prijavljen).
• Okidači: određuje kada se zadatak pokreće: prilikom prijave, prilikom uključivanja računara, svaki dan, u određeno vrijeme, kada se dogodi događaj itd.
• Akcije: definira šta zadatak radi kada se pokrene, obično pokretanje programa, što će u ovom slučaju biti powershell.exe sa odgovarajućim argumentima.
• Uslovi: omogućava vam fino podešavanje kada radi: samo ako je računar priključen na struju, ako je neko vrijeme neaktivan, ako mreža ispunjava određene karakteristike itd.
• Postavke: dodatne postavke kao što su omogućavanje izvršavanja na zahtjev, ponovni pokušaji ako ne uspije, zaustavljanje ako traje predugo, ponašanje ako je već pokrenuto itd.
• Historija: bilježi izvršenja, greške i upozorenja, vrlo korisno za otklanjanje grešaka kada nešto ne radi kako bi trebalo.

Za pokretanje PowerShell skripte iz Task Schedulera, tipičan obrazac na kartici Actions je:

• Program / skripta: powershell.exe
• Dodajte argumenteNešto slično -File C:\Scripts\MiScript.ps1dodavanje dodatnih parametara ako je potrebno, kao što su -ExecutionPolicy Bypass o -NoExit prema vašim potrebama.
• Počni u: opcionalno, direktorij u kojem se nalazi skripta ako ovisite o relativnim putanjama.

Korištenjem standardnog korisničkog računa kao računa za izvršavanje zadataka (na kartici Općenito), skripta će se pokrenuti s istim dozvolama koje imate kada se prijavite, što je savršeno u skladu s pretpostavkom automatizacije bez administratorskih prava. Međutim, ako skripta treba pristupiti dijelovima sistema rezerviranim za administratore, neće uspjeti, stoga je ključno dizajnirati svaki zadatak imajući na umu dostupan sigurnosni kontekst.

Prednosti automatizacije pomoću Task Schedulera i PowerShella

Kombinacija Planera zadataka sa PowerShell skriptama nudi uvjerljiv skup prednosti, čak i bez povećanih privilegija. Neke ključne prednosti uključuju:

• Ušteda vremenaRepetitivni zadaci poput čišćenja, izvještavanja ili izvoza podataka izvršavaju se automatski dok radite nešto drugo ili čak i dok je sesija zatvorena (ako je zadatak konfiguriran za to).
• KonzistentnostSkripta uvijek radi potpuno istu stvar, istim redoslijedom, bez ikakvih grešaka, što smanjuje marginu ljudske greške.
• PouzdanostMožete zakazati redovne rutine (dnevne, sedmične, mjesečne) koje održavaju sistem ili vaše podatke u dobrom stanju, čak i bez ručne intervencije.
• Efikasnost resursaLako je zakazati skripte za sate van vršnih opterećenja, izbjegavajući utjecaj na performanse tokom vršnih opterećenja.
• FleksibilnostOkidači zasnovani na vremenu, prijavi, pokretanju sistema ili događajima omogućavaju automatizacije visoko prilagođene vašem okruženju.
• Obrada grešakaMožete konfigurirati ponovne pokušaje, evidentirati PowerShell izlaz, slati e-poruke ili zapisivati ​​određene događaje kada nešto ne uspije.
• bezbjednostPokretanjem skripti s ograničenim korisničkim računima smanjujete rizik od greške skripte koja može uzrokovati ozbiljna oštećenja sistema. Koristite zadatke sa širim dozvolama samo kada je to apsolutno neophodno.

Za naprednu automatizaciju u velikim mrežama, PowerShell nudi još više mogućnosti: uz dobro osmišljene planirane zadatke možete povezati složene tokove rada , orkestrirati zadatke na različitim mašinama i automatski reagovati na određene događaje.

Praktični primjeri automatizacije pomoću PowerShella

Kada shvatite okvir, ono što zaista čini razliku su specifični skripti koje implementirate . Evo nekoliko uobičajenih scenarija u kojima PowerShell blista, kako u pojedinačnim timovima, tako i u većim okruženjima.

Upravljanje Microsoft 365 pomoću PowerShella

Unutar ekosistema Microsoft 365, PowerShell je postao glavni alat za upravljanje korisnicima, licencama i uslugama na veliko . Uz prave module, možete se povezati sa svojim zakupcem i automatizirati značajan dio svojih svakodnevnih zadataka, kao što je migracija korisničkih profila i Officea . Za početak, obično se koristi klasični MSOnline modul (iako su danas češći Microsoft Graph modul i moderni Exchange Online modul). Osnovni tijek rada bi bio:

1. Instalirajte potrebne module (na primjer, iz PowerShell sesije s dozvolama za instaliranje modula):
   Install-Module -Name PowerShellGet -Force -AllowClobber
Install-Module -Name MSOnline
2. Povežite se sa uslugom koristeći svoje administratorske vjerodajnice za Microsoft 365:
   Connect-MsolService

Odatle možete automatizirati zadatke kao što su:

• Masovna registracija korisnika iz CSV datoteke, dodjeljivanje lozinki i svojstava profila.
• Promjene u članstvu grupe na osnovu pravila (na primjer, premještanje korisnika u određene sigurnosne grupe).
• Automatska deaktivacija neaktivnih računa na osnovu kriterija kao što su datum posljednje promjene lozinke ili datum prijave.
• Generisanje periodičnih izvještaja u vezi s aktivnošću korisnika, licencama koje se koriste ili sigurnosnim statusom.

Ove skripte se mogu ručno pokrenuti iz konzole s odgovarajućim dozvolama u Microsoft 365 ili integrirati u planirane zadatke na upravljačkom serveru. Iako upravljanje zakupcima zahtijeva račun s visokim dozvolama u oblaku, računar s kojeg pokrećete skriptu ne mora nužno imati lokalni administratorski račun , sve dok može instalirati module i povezivati ​​se s udaljenim uslugama.

Automatizacija lokalnog održavanja

Na konvencionalnim Windows mašinama, čak i sa standardnim nalogom, možete kreirati skripte za:

• Napravi sigurnosnu kopiju korisničkih mapa Mediante kopije i sinhronizacija na drugi disk ili na mrežnu lokaciju kojoj imate pristup.
• Očistite privremene datoteke i bloatware u putanjama vašeg profila, predmemorijama aplikacija ili zapisnicima koji ne zahtijevaju administratorske dozvole.
• Zabilježite korištenje diska, procesora ili memorije Iz perspektive vašeg računa, generiranje izvještaja u direktoriju u koji možete pisati.
• Pregledajte interne procese ili korisničke usluge kojima nisu potrebna povišena ovlaštenja za provjeru njihovog statusa.

Ovi skripti, u kombinaciji s alatom za planiranje zadataka koji se pokreće pod vašim korisničkim računom, omogućavaju vam postavljanje vrlo praktične osnovne rutine održavanja i praćenja čak i kada vam IT odjel ne daje administratorski pristup.

Daljinska automatizacija sa Splashtop-om i drugim sistemima

U okruženjima za rad na daljinu, alati poput Splashtopa dodaju još jedan zanimljiv sloj. Ove vrste rješenja pružaju siguran udaljeni pristup računarima i, u nekim slučajevima, specifične mogućnosti za:

• Baci komandne linije ili udaljene PowerShell konzole bez potrebe za pokretanjem pune sesije na radnoj površini.
• Istovremeno pokrenite PowerShell skripte na više krajnjih tačaka, uz kontrole revizije i centralizovano zakazivanje.
• Primjenjujte politike, implementirajte zakrpe ili skripte za sanaciju na grupe računara bez nadzora.

Na primjer, Splashtop AEM je posebno dizajniran za upravljanje i automatizaciju zadataka na velikim brojem uređaja , besprijekorno integrirajući izvršavanje PowerShell skripti unutar svoje platforme. Ovisno o konfiguraciji, možete iskoristiti ove mogućnosti čak i ako vaš lokalni račun nije administratorski, delegirajući dio kontrole sistemu za daljinsko upravljanje.

PowerShell skripte za IIS, baze podataka i Web Deploy

Na serverima koji hostiraju web aplikacije na IIS-u, Web Deploy verzija 2.1 uključuje skup PowerShell skripti koje znatno pojednostavljuju pripremu web-mjesta za implementaciju pomoću Web Deploy-a . Iako su za postavljanje obično potrebne početne privilegije administratora servera, korisno je biti upoznat s ovim skriptama jer su dio mnogih automatiziranih infrastruktura za implementaciju.

Glavni skripti su:

• SetupSiteForPublish.ps1: kreira ili konfiguriše IIS lokaciju, korisnika za implementaciju koji nije administrator i datoteku profila objavljivanja (.publishsettings).
• KreirajSqlDatabase.ps1: kreira SQL Server bazu podataka, prijavu i korisnika s dozvolama db_owner, te dodaje niz za povezivanje u datoteku za objavljivanje.
• KreirajMojuSqlBazuDatabaze.ps1: radi isto, ali za MySQL, kreira bazu podataka i korisnika sa dozvolama na njoj.
• AddDelegationRules.ps1Konfigurišite pravila delegiranja u IIS-u kako biste omogućili da Web Deploy ispravno funkcioniše u delegiranim okruženjima.

Na primjer, skripta SetupSiteForPublish može odmah montirati stranicu pod nazivom WDeploySite na dostupan port (između 8080 i 8200), kreirati povezani skup aplikacija i generirati lokalnog korisnika koji nije administrator (WDeploySiteuser) s dozvolama za fizički direktorij stranice i potrebnim dozvolama u IIS-u. Sve informacije se spremaju u .publishsettings datoteku koju mogu koristiti alati poput WebMatrixa ili Visual Studija.

Skripte baze podataka dodaju SQL Server ili MySQL stringove za povezivanje ovom profilu , također kreirajući specifične prijave i korisnike s lozinkama (koje se mogu automatski generirati ili ručno definirati u pozivu skripte). Iako su ovi alati dizajnirani imajući na umu privilegirana implementacije, njihova filozofija je usklađena s idejom da se svakoj aplikaciji i procesu da minimalni potreban pristup , jasno odvajajući administratorske i objavljujuće račune.

Najbolje prakse za sigurnost i performanse u PowerShell skriptama

Svaka strategija automatizacije, posebno kada se implementira bez administratorskih privilegija, mora se zasnivati ​​na nizu dobrih sigurnosnih i performansnih praksi kako bi se izbjegli problemi u srednjoročnom periodu.

Neki ključni savjeti su:

• Dizajnirajte skripte koristeći princip najmanjih privilegija: da svaka skripta dodiruje samo strogo neophodne resurse i da račun koji je pokreće (standardni korisnik, servisni račun itd.) ima samo osnovne dozvole.
• Potpisivanje osjetljivih skripti i koristite politike izvršavanja koje zahtijevaju potpisivanje barem za skripte preuzete s interneta ili dijeljene na mreži kompanije.
• Zaštitite vjerodajnice i osjetljive informacijeizbjegavanje pohranjivanja u običnom tekstu unutar skripti i pribjegavanje sigurnom pohranjivanju, šifriranim varijablama okruženja ili rješenjima za sinhronizirajte i šifrirajte kopije u oblaku gdje je to prikladno.
• Implementirajte robusno rukovanje greškamaKoristite try/catch blokove, evidentirajte greške i, ako je moguće, šaljite upozorenja kada nešto kritično ne uspije.
• Optimizirajte performansePonovo koristite funkcije i module, minimizirajte nepotrebne petlje, radite s izvornim cmdletima kad god je to moguće i testirajte različite pristupe za smanjenje vremena izvršavanja.
• Praćenje i revizija zakazanih zadatakaPeriodično pregledajte historiju planera zadataka, zapisnike događaja i datoteke zapisnika koje generiraju skripte kako biste otkrili anomalno ponašanje ili ponavljajuće greške.
• Uvijek testirajte u razvojnim ili testnim okruženjima prije implementacije novog zadatka ili skripte u produkciji, posebno ako on interaguje s kritičnim sistemima ili osjetljivim podacima.

Imajući sve ovo u vidu, može se izgraditi visoko sposoban PowerShell automatizacijski ekosistem, podržan zakazanim zadacima i udaljenim alatima, gdje samo mali dio infrastrukture zahtijeva visoko privilegovane račune , a ostatak radi sa standardnim ili vrlo ograničenim korisnicima usluga. Pažljivim planiranjem konteksta izvršavanja, dizajna skripti i upravljanja dozvolama, sasvim je izvodljivo automatizirati veliki dio svakodnevnog rada u Windowsu i Microsoft 365 bez stalnog oslanjanja na administratorski račun.

Povezani članak:

Kako deinstalirati unaprijed instalirane aplikacije i bloatware pomoću PowerShella u Windowsu 10 i 11

Isaac

Strastveni pisac o svijetu bajtova i tehnologije općenito. Volim dijeliti svoje znanje kroz pisanje, a to je ono što ću raditi na ovom blogu, pokazivati ​​vam sve najzanimljivije stvari o gadžetima, softveru, hardveru, tehnološkim trendovima i još mnogo toga. Moj cilj je pomoći vam da se krećete u digitalnom svijetu na jednostavan i zabavan način.