Automatizimi në PowerShell pa privilegje administratori

Nëse po pyesni se si Automatizoni detyrat në PowerShell pa qenë administratorNuk je vetëm. Është një skenar shumë i zakonshëm: duhet të ekzekutosh skripte, të caktosh pastrime, të gjenerosh raporte ose të menaxhosh Microsoft 365, por nuk ke privilegje të larta në makinë ose thjesht nuk dëshiron t'i përdorësh ato për arsye sigurie.

Lajmi i mirë është se, duke u njohur me mjetet që ofron Windows (PowerShell, Task Scheduler dhe disa opsione të linjës së komandës), mund të konfiguroni një sistem të automatizim mjaft i fuqishëm pa prekur llogarinë e administratoritMegjithatë, është thelbësore të kuptoni kontekstin në të cilin ekzekutohen skriptet, kufizimet që keni pa privilegje të larta dhe si të konfiguroni gjithçka për të parandaluar dështimin në rastin e parë.

Ekzekutoni PowerShell pa të drejta administratori

Para se të futemi në automatizimin e avancuar, është e rëndësishme të kuptojmë se si Hapni PowerShell pa privilegje të larta Edhe pse Windows duket se vazhdimisht të shtyn të "Run as administrator". Në shumë mjedise të korporatave ose të përbashkëta, kjo thjesht nuk është një mundësi.

Ekziston një truk shumë i dobishëm i bazuar në komandën vrapo si Kjo ju lejon të filloni një seancë PowerShell me një nivel besimi të kufizuar, ideal për të punuar pa rritur lejet edhe nëse llogaria juaj e përdoruesit i ka ato privilegje. Për ta bërë këtë, thjesht ndiqni këto hapa bazë:

1. Hapni komanda e shpejtë (cmd) në modalitetin normal, pa përdorur "Run as administrator".

2. Në dritaren cmd, shkruani këtë komandë dhe shtypni Enter:

runas /trustlevel:0x20000 powershell

Kjo komandë nis një seancë të re PowerShell nën një nivel më i kufizuar besimiKjo ju ndihmon të shmangni probleme të caktuara kur diçka nuk funksionon siç duhet në një konsol të ngritur. Një shembull klasik është instalimi i mjeteve të përdoruesit si pikasojNëse përpiqeni ta shkarkoni ose konfiguroni atë nga një seancë PowerShell me të drejta administratori, procesi mund të dështojë, ndërsa nga një seancë me leje normale funksionon pa probleme.

Kjo qasje përputhet shumë mirë me filozofinë e privilegj minimalJu i rritni lejet vetëm kur është rreptësisht e nevojshme dhe e lini pjesën më të madhe të automatizimit të funksionojë me të njëjtin kontekst që do të përdorte një përdorues standard ose i përditshëm i punës.

PowerShell si themeli i automatizimit modern

PowerShell është shumë më tepër sesa thjesht një konsol blu: është një korniza e automatizimit dhe gjuha e skriptimit I projektuar për të menaxhuar sistemet Windows dhe, në versionet e tij më të fundit (PowerShell Core), gjithashtu Linux dhe macOS. Funksionon me cmdlets (komandat e specializuara), objekte dhe tuba, duke ju lejuar të ndërtoni detyra komplekse nga pjesë shumë të vogla dhe të ripërdorshme.

Dallimi në krahasim me vijën klasike të komandës është i madh: me PowerShell mundeni zinxhiri i komandave, manipulimi i objekteve, log-et e pyetjeve, shërbimet, IIS, SQL, Microsoft 365 dhe praktikisht çdo produkt i Microsoft-it ose i palës së tretë që ka module të pajtueshme. Kjo e bën atë një mjet ideal për automatizimin e gjithçkaje, nga pastrimet e thjeshta të përkohshme të skedarëve deri te vendosjet e plota të aplikacioneve web.

Është e rëndësishme të bëhet dallimi midis PowerShell (mjedisi) dhe një Skripti PowerShellMjedisi është konzola ose terminali ku shkruani komanda interaktive, ndërsa një skript është një skedar .ps1 që përmban një sekuencë të renditur udhëzimesh, kushtesh, funksionesh dhe variablash të krijuara për të kryer detyra të përsëritura pa pasur nevojë të shkruani gjithçka çdo herë.

Këto skripte PowerShell janë themeli mbi të cilin janë ndërtuar shumë prej tyre. Strategjitë e automatizimit të IT-së: menaxhim masiv i përdoruesve, vendosje përditësimesh, monitorim i sistemit, gjenerim automatik i raporteve, detyra pastrimi periodik, etj. Dhe, më e mira nga të gjitha, shumë nga këto skenarë mund të ekzekutohen pa qasje të drejtpërdrejtë në një llogari administratori lokal, për sa kohë që skripti prek vetëm burimet në të cilat përdoruesi juaj ka tashmë qasje.

Konfiguroni mjedisin PowerShell dhe politikat e ekzekutimit

Që automatizimi të funksionojë pa probleme, është e nevojshme të keni kontroll mbi mënyrën se si sillet automatizimi. Politika e Ekzekutimit të PowerShellKjo politikë përcakton se cilat skripte mund të ekzekutohen dhe nga ku, dhe zakonisht është pengesa e parë që has dikush kur fillon automatizimin.

Politikat më të zakonshme të zbatimit janë:

• i kufizuarKy është cilësimi parazgjedhur në shumë instalime. Lejohen vetëm komandat interaktive; skriptet .ps1 bllokohen. Është opsioni më i sigurt, por në praktikë, Parandalon çdo automatizim të bazuar në skripte.
• Të gjitha të nënshkruaraVetëm skriptet e nënshkruara dixhitalisht nga një botues i besuar mund të ekzekutohen. Kjo është e përshtatshme për mjediset ku dëshironi kontroll i rreptë mbi kodin që funksionon në ekipe.
• Nënshkruar nga distancaSkriptet e shkarkuara nga interneti ose nga vende të largëta duhet të nënshkruhen, por skriptet lokale të panënshkruara mund të ekzekutohen. Kjo është një politikë mjaft e ekuilibruar dhe shumë e zakonshme në mjediset e korporatave.
• i pakufizuarlejon ekzekutimin e çdo skripti, pavarësisht nëse është i nënshkruar apo jo. Nuk rekomandohet për prodhim sepse e ekspozon sistemin ndaj një rreziku të lartë.

Mund ta kontrolloni politikën tuaj aktuale me:

Get-ExecutionPolicy

Dhe modifikojeni atë (nëse llogaria juaj ka leje për ta bërë këtë) duke përdorur Politika e ekzekutimit të seteve, për shembull:

Set-ExecutionPolicy RemoteSigned

Nëse nuk jeni administrator, mund të mos jeni në gjendje ta ndryshoni politikën në nivelin e makinës, por mund ta rregulloni atë në nivelin e përdoruesit ose të procesit, varësisht nga konfigurimi i organizatës suaj. Sidoqoftë, kur planifikoni automatizimin pa privilegje të larta, supozoni se politika e ekzekutimit Është vetëm një kufizim tjetër sigurie me të cilin duhet të jetosh. dhe hartoni skriptet tuaja në përputhje me rrethanat.

Krijoni dhe modifikoni me lehtësi skripte PowerShell

Edhe pse mund të shkruani skripte në çdo redaktues teksti, është shumë më e përshtatshme të përdorni mjete me theksimi i sintaksës dhe ndihmat e zhvillimitSidomos ndërsa skriptet rriten dhe fillojnë të përfshijnë funksione, module dhe logjikë komplekse.

Opsionet më të zakonshme për të punuar me skriptet PowerShell janë:

• Kodi i Visual Studio (Kodi VS)Sot, është opsioni i rekomanduar nga Microsoft. Është falas, i lehtë dhe, me zgjerimin zyrtar PowerShell të instaluar, ofron plotësim automatik (IntelliSense), debugging hap pas hapi, fragmente, integrim me Git dhe një terminal të integruar.
• PowerShell ISEKy është mjedisi klasik i integruar që vjen me Windows PowerShell 5.1 dhe versionet e mëparshme. Edhe pse konsiderohet si i trashëguar në krahasim me VS Code, ai përdoret ende gjerësisht në shumë mjedise.
• Notepad ose redaktorë të tjerë të thjeshtëi përshtatshëm për skripte të vogla ose të shpejta, megjithëse humbisni shumë veçori të dobishme që e bëjnë jetën më të lehtë kur kodi ndërlikohet.

Në të gjitha rastet, rrjedha bazë është e ngjashme: ju krijoni një skedar të ri, shkruani kodin PowerShell dhe e ruani atë me shtesën . .ps1 dhe pastaj e ekzekutoni nga një konsol. Për shembull, nëse e ruani skriptin në C:\Scripts\MiScript.ps1Mund ta nisni nga PowerShell duke bërë:

& "C:\Scripts\MiScript.ps1"

Për ta bërë të gjithë këtë të përshtatet me automatizimin, do të duhet të mendoni për Si do të quhet ai skript në një mënyrë të programuar? pa përdorur privilegje administratori, diçka që do ta shohim më vonë me Planifikuesin e Detyrave.

Automatizoni me Planifikuesin e Detyrave të Windows dhe PowerShell

Planifikuesi i Detyrave të Windows është mjeti që ju lejon të aktivizoni automatikisht skriptet e PowerShell sipas orareve, ngjarjeve ose kushteve të sistemit. Edhe pse shumë udhëzues e përdorin atë për detyra me privilegje administratori, është gjithashtu plotësisht i vlefshëm për automatizimin në një kontekst standard përdoruesi, me kusht që detyra të jetë konfiguruar me llogarinë e duhur.

Biblioteka e Planifikuesit të Detyrave i organizon të gjitha detyrat në dosje dhe, për secilën prej tyre, ofron disa skeda kyçe:

• i përgjithshëm: emri, përshkrimi, llogaria nën të cilën ekzekutohet dhe opsionet e sigurisë (për shembull, nëse ekzekutohet edhe nëse përdoruesi nuk është i kyçur).
• Shkaktarëtpërcakton se kur nis detyra: me hyrjen në sistem, me ndezjen e kompjuterit, çdo ditë, në një kohë të caktuar, kur ndodh një ngjarje, etj.
• Veprimet: përcakton se çfarë bën detyra kur aktivizohet, zakonisht duke filluar një program, i cili në këtë rast do të jetë PowerShell.exe me argumentet e duhura.
• Kushtet: ju lejon të bëni konfigurime të hollësishme kur është në punë: vetëm nëse kompjuteri është i lidhur në prizë, nëse është joaktiv për një farë kohe, nëse rrjeti plotëson karakteristika të caktuara, etj.
• Cilësimet: cilësime shtesë si lejimi i ekzekutimit sipas kërkesës, ripërpjekjet nëse dështon, ndalimi nëse zgjat shumë, sjellja nëse është tashmë në ekzekutim, etj.
• Histori: regjistron ekzekutimet, gabimet dhe paralajmërimet, shumë i dobishëm për debugging kur diçka nuk funksionon siç duhet.

Për të nisur një skript PowerShell nga Task Scheduler, modeli tipik në skedën Veprimet është:

• Programi/skripti: powershell.exe
• Shto argumenteDiçka e tillë -File C:\Scripts\MiScript.ps1duke shtuar më shumë parametra nëse është e nevojshme, si p.sh. -ExecutionPolicy Bypass o -NoExit sipas nevojave tuaja.
• Fillo Ne: opsionale, direktoria ku ndodhet skripti nëse vareni nga shtigjet relative.

Duke përdorur llogarinë standarde të përdoruesit si llogarinë e ekzekutimit të detyrës (në skedën Të përgjithshme), skripti do të funksionojë me të njëjtat leje që keni Kur hyni, kjo përputhet në mënyrë të përkryer me parimin e automatizimit pa qenë administrator. Megjithatë, nëse skripti kërkon qasje në pjesë të sistemit të rezervuara për administratorët, ai do të dështojë, kështu që është thelbësore të hartoni çdo detyrë duke pasur parasysh kontekstin e sigurisë në dispozicion.

Avantazhet e automatizimit me Task Scheduler dhe PowerShell

Kombinimi i Planifikuesit të Detyrave me skriptet PowerShell ofron një sërë përfitimesh bindëse, edhe pa privilegje të larta. Disa avantazhe kryesore përfshijnë:

• Kursim koheDetyrat e përsëritura si pastrimi, raportimi ose eksportimi i të dhënave ekzekutohen automatikisht ndërsa jeni duke bërë diçka tjetër ose edhe me seancën e mbyllur (nëse detyra është konfiguruar për ta bërë këtë).
• konsistencëSkenari bën gjithmonë saktësisht të njëjtën gjë, në të njëjtën renditje, pa gabime, gjë që zvogëlon kufirin e gabimit njerëzor.
• seriozitetMund të caktoni rutina të rregullta (ditore, javore, mujore) që e mbajnë sistemin ose të dhënat tuaja në gjendje të mirë, edhe pa ndërhyrje manuale.
• Efikasiteti i burimeveËshtë e lehtë të planifikosh skriptet për orët jashtë orarit të pikut, duke shmangur ndikimet në performancë gjatë orarit të pikut.
• lakueshmëri: lejojnë shkaktarët e bazuar në kohë, të bazuar në hyrje, të nisjes së sistemit ose të bazuar në ngjarje automatizime shumë të përshtatura me mjedisin tuaj.
• trajtimin e gabimeveMund të konfiguroni ripërpjekjet, të regjistroni rezultatet e PowerShell, të dërgoni email-e ose të shkruani ngjarje specifike kur diçka dështon.
• SiguriDuke ekzekutuar skripte me llogari përdoruesish të kufizuara, zvogëloni rrezikun që një gabim skripti të shkaktojë dëmtime serioze të sistemit. Përdorni detyra me leje më të gjera vetëm kur është absolutisht e nevojshme.

Për automatizim të përparuar në rrjete të mëdha, PowerShell ofron edhe më shumë mundësi: me detyra të planifikuara mirë, ju mund të... bashkimi i rrjedhave të punës komplekse me zinxhir, orkestrojnë detyrat nëpër makina të ndryshme dhe përgjigjen automatikisht ndaj ngjarjeve specifike.

Shembuj praktikë të automatizimit me PowerShell

Pasi ta keni qartësuar kornizën, ajo që bën vërtet ndryshimin janë skripte specifike që ekzekutoniKëto janë disa skenarë shumë të zakonshëm ku PowerShell shkëlqen, si në ekipe individuale ashtu edhe në mjedise më të mëdha.

Menaxhimi i Microsoft 365 me PowerShell

Brenda mjedisit Microsoft 365, PowerShell është bërë mjeti kryesor për menaxhoni përdoruesit, licencat dhe shërbimet në masëMe modulet e duhura, mund të lidheni me qiramarrësin tuaj dhe të automatizoni një pjesë të mirë të punës së përditshme, si p.sh. Migro profilet e përdoruesve dhe OfficePër të filluar, zakonisht përdoret moduli klasik MSOnline (megjithëse sot moduli Microsoft Graph dhe moduli modern Exchange Online janë më të zakonshëm). Rrjedha bazë e punës do të ishte:

1. Instaloni modulet e nevojshme (për shembull, nga një seancë PowerShell me leje për të instaluar module):
   Install-Module -Name PowerShellGet -Force -AllowClobber
Install-Module -Name MSOnline
2. Lidhu me shërbimin duke përdorur kredencialet e administratorit të Microsoft 365:
   Connect-MsolService

Nga atje, ju mund të automatizoni detyra të tilla si:

• Regjistrimi masiv i përdoruesve nga një skedar CSV, duke caktuar fjalëkalime dhe veti të profilit.
• Ndryshime në anëtarësimin në grup bazuar në rregulla (për shembull, zhvendosja e përdoruesve në grupe specifike sigurie).
• Çaktivizimi automatik i llogarive joaktive bazuar në kritere të tilla si data e ndryshimit të fundit të fjalëkalimit ose data e hyrjes.
• Gjenerimi i raporteve periodike në lidhje me aktivitetin e përdoruesit, licencat në përdorim ose statusin e sigurisë.

Këto skripte mund të nisen manualisht nga një konsol me lejet e duhura në Microsoft 365 ose të integrohen në detyrat e planifikuara në një server menaxhimi. Edhe pse menaxhimi i qiramarrësve kërkon një llogari me leje të larta në cloud, kompjuteri nga i cili ekzekutoni skriptin... Nuk keni nevojë domosdoshmërisht për një llogari administratori lokalme kusht që të mund të instaloni module dhe të lidheni me shërbime në distancë.

Automatizimi lokal i mirëmbajtjes

Në makinat konvencionale me Windows, madje edhe me një llogari standarde, mund të krijoni skripte për të:

• Krijo kopje rezervë të dosjeve të përdoruesit Mediante kopje dhe sinkronizim në një disk tjetër ose në një vendndodhje rrjeti ku keni qasje.
• Pastroni skedarët e përkohshëm dhe programet e tepërta në shtigjet e profilit tuaj, memorjet e përkohshme të aplikacioneve ose regjistrat që nuk kërkojnë leje administratori.
• Regjistro përdorimin e diskut, CPU-së ose memories Nga perspektiva e llogarisë suaj, gjenerimi i raporteve në një drejtori ku mund të shkruani.
• Rishikoni proceset e brendshme ose shërbime përdoruesish që nuk kërkojnë privilegje të larta për të kontrolluar statusin e tyre.

Këto skripte, të kombinuara me Planifikuesin e Detyrave që funksionon nën llogarinë tuaj të përdoruesit, ju lejojnë të konfiguroni një rutina bazë e mirëmbajtjes dhe monitorimit Shumë i dobishëm edhe kur departamenti i IT-së nuk ju jep akses administratori.

Automatizim në distancë me Splashtop dhe sisteme të tjera

Në mjediset ku puna bëhet nga distanca, mjete të tilla si Splashtop Ato shtojnë një shtresë tjetër interesante. Ky lloj zgjidhjeje ofron akses të sigurt në distancë në pajisje dhe, në disa raste, aftësi specifike për:

• Hidhe komandat ose konsolat e largëta të PowerShell pa pasur nevojë të filloni një seancë të plotë në desktop.
• Ekzekutoni skripte PowerShell në shumë pika fundore njëkohësisht, me kontrolle auditimi dhe planifikim të centralizuar.
• Zbatoni politika, vendosni patch-e ose skripte korrigjimi në grupe kompjuterësh pa mbikëqyrje.

Për shembull, Splashtop AEM është projektuar posaçërisht për të menaxhoni dhe automatizoni detyrat në flota të mëdha pajisjeshIntegron pa probleme ekzekutimin e skripteve PowerShell brenda platformës së tij. Në varësi të konfigurimit tuaj, mund t'i shfrytëzoni këto aftësi edhe nëse llogaria juaj lokale nuk është administratore, duke i deleguar një pjesë të kontrollit sistemit të menaxhimit në distancë.

Skripte PowerShell për IIS, bazat e të dhënave dhe Web Deploy

Në serverat që strehojnë aplikacione web në IIS, versioni 2.1 i Web Deploy përfshin një sërë skriptesh PowerShell që e thjeshtojnë shumë procesin. përgatitja e faqeve të internetit për publikim duke përdorur Web DeployEdhe pse zakonisht kërkohen privilegje të administratorit të serverit për konfigurimin fillestar, ia vlen të njiheni me to sepse ato janë pjesë e shumë infrastrukturave të shpërndarjes automatike.

Skriptet kryesore janë:

• SetupSiteForPublish.ps1: krijon ose konfiguron një faqe IIS, një përdorues vendosjeje jo-administrator dhe një skedar profili publikimi (.publishsettings).
• KrijoSqlDatabase.ps1: krijon një bazë të dhënash SQL Server, një hyrje dhe një përdorues me leje db_owner, dhe shton vargun e lidhjes në skedarin e publikimit.
• CreateMySqlDatabase.ps1: bën të njëjtën gjë, por për MySQL, duke krijuar një bazë të dhënash dhe një përdorues me leje në të.
• AddDelegationRules.ps1Konfiguroni rregullat e delegimit në IIS për të lejuar që Web Deploy të funksionojë siç duhet në mjediset e deleguara.

Skenari Konfiguro Faqen PërPublishPër shembull, mund të montojë menjëherë një faqe të quajtur WDeploySite në një port të disponueshëm (midis 8080 dhe 8200), të krijojë një grup aplikacionesh të lidhur dhe të gjenerojë një përdorues lokal jo-administrator (WDeploySiteuser) me leje në drejtorinë fizike të faqes dhe lejet e nevojshme në IIS. I gjithë informacioni ruhet në një skedar .publishsettings që mund të përdoret nga mjete si WebMatrix ose Visual Studio.

Skriptet e bazës së të dhënave i shtojnë këtij profili Vargjet e lidhjes së SQL Server ose MySQLgjithashtu duke krijuar hyrje dhe përdorues specifikë me fjalëkalime (të cilat mund të gjenerohen automatikisht ose të përcaktohen manualisht në thirrjen e skriptit). Edhe pse këto mjete u projektuan duke pasur parasysh vendosjet e privilegjuara, filozofia e tyre përputhet me idenë e jepini çdo aplikacioni dhe çdo procesi aksesin minimal të nevojshëmduke ndarë qartë llogaritë administrative dhe llogaritë botuese.

Praktikat më të mira për sigurinë dhe performancën në skriptet PowerShell

Çdo strategji automatizimi, veçanërisht kur zbatohet pa privilegje administratori, duhet të mbështetet në një seri... praktikat e mira të sigurisë dhe performancës për të shmangur problemet në afat të mesëm.

Disa këshilla kryesore janë:

• Dizajnoni skripte duke përdorur parimin e privilegjit më të vogëlqë çdo skript prek vetëm burimet e domosdoshme dhe që llogaria që e ekzekuton atë (përdoruesi standard, llogaria e shërbimit, etj.) ka vetëm lejet thelbësore.
• Nënshkrimi i skripteve të ndjeshme dhe përdorin politika ekzekutimi që kërkojnë nënshkrim të paktën për skriptet e shkarkuara nga interneti ose të ndara në rrjetin e kompanisë.
• Mbroni kredencialet dhe informacionin e ndjeshëmduke shmangur ruajtjen e tyre në tekst të thjeshtë brenda skripteve dhe duke përdorur ruajtje të sigurt, variabla të mjedisit të enkriptuar ose zgjidhje për sinkronizoni dhe enkriptoni kopjet në cloud aty ku është e përshtatshme.
• Implementoni trajtimin e fuqishëm të gabimevePërdorni blloqet "try/catch", regjistroni gabimet dhe, nëse është e mundur, dërgoni alarme kur diçka kritike dështon.
• Optimizoni performancënRipërdorni funksionet dhe modulet, minimizoni sythet e panevojshme, punoni me cmdlet-e native sa herë që është e mundur dhe testoni qasje të ndryshme për të zvogëluar kohën e ekzekutimit.
• Monitoroni dhe auditoni detyrat e planifikuaraRishikoni periodikisht historikun e Planifikuesit të Detyrave, regjistrat e ngjarjeve dhe skedarët e regjistrave të gjeneruar nga skriptet për të zbuluar sjellje anormale ose dështime të përsëritura.
• Testoni gjithmonë në mjedise zhvillimi ose testimi përpara se të zbatohet një detyrë ose skript i ri në prodhim, veçanërisht nëse ai bashkëvepron me sisteme kritike ose të dhëna të ndjeshme.

Duke pasur parasysh të gjitha këto, mund të ndërtohet një ekosistem automatizimi PowerShell shumë i aftë, i mbështetur nga detyra të planifikuara dhe mjete në distancë, ku Vetëm një pjesë e vogël e infrastrukturës kërkon llogari shumë të privilegjuara dhe pjesa tjetër mund të trajtohet nga përdorues standardë ose shumë të kufizuar të shërbimeve. Duke planifikuar me kujdes kontekstet e ekzekutimit, dizajnin e skripteve dhe menaxhimin e lejeve, është plotësisht e realizueshme të automatizohet pjesa më e madhe e punës së përditshme në Windows dhe Microsoft 365 pa u mbështetur vazhdimisht në llogarinë e administratorit.

Artikulli i lidhur:

Si të çinstaloni aplikacionet dhe programet e parainstaluara duke përdorur PowerShell në Windows 10 dhe 11

Isaac

Shkrimtar i apasionuar pas botës së bajteve dhe teknologjisë në përgjithësi. Më pëlqen të ndaj njohuritë e mia përmes shkrimit, dhe kjo është ajo që do të bëj në këtë blog, duke ju treguar të gjitha gjërat më interesante në lidhje me pajisjet, softuerin, harduerin, tendencat teknologjike dhe më shumë. Qëllimi im është t'ju ndihmoj të lundroni në botën dixhitale në një mënyrë të thjeshtë dhe argëtuese.