把执行策略、签名、凭据、日志和受限语言模式放在一起看，避免把 PowerShell 当成天然安全的沙箱

适用场景

编写会被他人或计划任务执行的脚本、从网络分发脚本、在服务器上保存凭据、为运维开放受限远程入口时，需要系统性考虑安全边界。也适合审计“为什么这台机器上的脚本行为和其他机器不同”。

如果只是一次性本地命令，不需要引入签名和 JEA；但执行策略、下载来源和凭据处理仍然适用。

核心概念

• 执行策略：控制脚本是否允许运行以及是否需要签名，作用域有 MachinePolicy、UserPolicy、Process、CurrentUser、LocalMachine。它是防误操作的安全护栏，不是安全边界，不能阻止恶意代码。
• 代码签名：Authenticode 签名把脚本哈希和签名者证书绑定。Get-AuthenticodeSignature 检查状态，Set-AuthenticodeSignature 用代码签名证书签名；文件被修改后签名立即失效。
• 下载标记：浏览器和邮件客户端会给下载文件打上 Zone.Identifier 标记，RemoteSigned 会据此要求签名。Unblock-File 只是移除标记，不会让内容变安全。
• 凭据与机密：PSCredential 和 SecureString 避免明文出现在变量和输出里，但不是密钥保管方案；同用户或同进程仍可能还原。优先用 SecretManagement、Windows 凭据管理器、gMSA 或托管身份。
• 日志与检测：转录记录会话输出；脚本块日志（事件 4104）记录执行的代码；模块日志（4103）记录模块命令；AMSI 在 Windows 上扫描脚本内容。日志要考虑敏感信息泄露和集中收集。
• 受限语言与 JEA：Constrained Language Mode 限制危险语言结构；JEA 通过会话配置和角色能力只向远程用户开放指定命令。JEA 只约束远程端点，不约束本地控制台。
• 危险模式：Invoke-Expression 执行拼接字符串、iex (iwr ...) 下载即执行、Add-Type 编译任意代码、把密码写进脚本或命令行，都是供应链和凭据风险。

5.1 与 7.x 差异

• 执行策略只在 Windows 上生效。PowerShell 7.x 在 Linux/macOS 上通常显示 Unrestricted，不能用执行策略当作跨平台的安全控制。
• 7.x 有更完整的 SecretManagement/SecretStore 生态，便于跨平台读取机密；5.1 也能安装部分模块，但生态和默认工具链不同。
• AMSI、Authenticode 和代码签名证书仍以 Windows 为主；7.x 的 SSH 远程扩大了可达范围，端点授权和日志要同步收紧。

常用操作

# 1. 先看各作用域的执行策略，理解现状而不是直接改成 Bypass
PS C:\> Get-ExecutionPolicy -List

# 2. 检查下载脚本的签名状态和签名者
PS C:\> Get-AuthenticodeSignature .\Deploy.ps1 | Format-List Status, StatusMessage, SignerCertificate

# 3. 用代码签名证书签名；签名后修改文件会使签名失效
PS C:\> $cert = Get-ChildItem Cert:\CurrentUser\My -CodeSigningCert | Select-Object -First 1
PS C:\> Set-AuthenticodeSignature -FilePath .\Deploy.ps1 -Certificate $cert

# 4. 交互式获取凭据，避免把明文密码写进脚本
PS C:\> $cred = Get-Credential
PS C:\> Invoke-Command -ComputerName SRV01 -Credential $cred -ScriptBlock { whoami }

# 5. 查看当前语言模式，受限环境不应被脚本自行绕过
PS C:\> $ExecutionContext.SessionState.LanguageMode

# 6. 7.x 用 SecretManagement 读取机密，不把密码放进脚本
PS C:\> Get-Secret -Name DbPassword -Vault LocalStore

# 7. 转录会话输出；转录不是防篡改审计，敏感输出要另外处理
PS C:\> Start-Transcript -Path C:\Logs\session.txt
PS C:\> Stop-Transcript

# 8. 查看脚本块日志是否开启，定位“谁执行了什么代码”
PS C:\> Get-WinEvent -LogName 'Microsoft-Windows-PowerShell/Operational' -MaxEvents 20 |
>>     Where-Object Id -eq 4104

易错点

• 用 Set-ExecutionPolicy Bypass 解决“脚本不能运行”不是修复，只是关闭护栏；恶意脚本同样可以绕过。应先确认脚本来源、签名和调用链。
• Unblock-File 只删除下载标记，不代表脚本可信。对来源不明的脚本，先读内容并在隔离环境验证，再决定是否执行。
• 脚本签名后又被编辑，签名必然失效；重新签名前确认改动经过审查。证书过期后，没有时间戳的签名可能无法验证。
• 把 SecureString 当保险箱：它可以被同用户进程还原，ConvertFrom-SecureString 也可能导出可解密内容；真正机密应放受控的机密存储。
• 用 -AsPlainText -Force 把明文转成 SecureString，只是换了个变量类型，明文仍然出现在命令历史和日志里。
• 转录和脚本块日志可能记录参数中的密码、令牌和连接字符串。开启日志前先约定敏感数据规范，日志本身也要访问控制。
• 受限语言模式不是完整沙箱，JEA 也不是“什么都能防”。它们降低可用命令面，仍要配合最小权限账户、网络隔离和审计。
• 7.x 在 Linux 上没有 Windows 执行策略约束，别把同一套脚本原样搬过去就以为仍有同等保护；同时检查文件权限、SSH 密钥和 sudo 规则。

相关命令

• powershell-remoting — JEA 端点与远程授权
• powershell-modules — 模块来源、签名和版本信任
• powershell-errors — 安全失败时的错误记录
• icacls — 限制脚本和凭据目录的 ACL

参考链接

• Microsoft Learn: PowerShell security features
• Microsoft Learn: about_Execution_Policies

读完自测

合上页面，先回答，再展开对照。

1. 执行策略设为 AllSigned 后，为什么仍然不能把它当作安全边界？
2. 下载的脚本签名有效，是否就可以直接在生产机执行？
3. 7.x 在 Linux 上，执行策略还能阻止未签名脚本吗？