PowerShellWebAccess介绍

PowerShell Web Access 介绍

大家好&＃xff0c;今天由瑞克带领大家讨论怎样使用Windows Server 2012上面的新功能&＃xff1a;PowerShell Web Access &＃xff08;PSWA&＃xff09;在你的IT基础环境中远程管理一组服务器。此外&＃xff0c;你还可以细粒度地根据你的IT环境中不同层次的支持团队委派他们使用固定的有限的PowerShell命令。 PowerShell Web Access 让Windows server 2012的远程管理如虎添翼。它扮演着一个代理网关的角色&＃xff0c;提供完整的或者有限的PowerShell会话来访问你的远程服务器。

荔非苔注&＃xff1a;为什么需要PSWA&＃xff1f;PowerShell控制台本身不就支持远程会话吗&＃xff1f;是的&＃xff0c;但是我能在xp系统上&＃xff0c;windows phone 上&＃xff0c;安卓手机上访问远程机器吗&＃xff1f;不能。所以此时我需要找一个代理&＃xff0c;一台代理服务器&＃xff0c;在它上面部署一个web网站&＃xff0c;让它帮我进行远程访问。而在windows server 2012 和Windows server 2012 R2上&＃xff0c;不需要我开发这个网站了&＃xff0c;PSWA已经帮我做好了&＃xff0c;我只须简单的启用和配置即可。

基于Web方式使用浏览器进行PowerShell远程管理

即使PowerShell的Tab键的自动完成功能&＃xff0c;PSWA也是支持的&＃xff0c;应当没有人愿意在它的手机上输入一条完整的PowerShell命令。如果使用手机能让你远离办公桌&＃xff0c;并完成一些简单的任务&＃xff0c;何乐而不为呢&＃xff1f;另外&＃xff0c;随着键盘功能有所增强的平板电脑的普及&＃xff0c;我想你会更欣赏PSWA这个功能的 :)。

PowerShell Web Access 安装

安装组件

接下来&＃xff0c;让我们以安装PSWA功能的命令 Install-WindowsFeature 来开始吧&＃xff1a;

使用PowerShell安装pswa

安装网站

接下来&＃xff0c;我们会在IIS中安装一个Web应用程序和一些PSWA所需的IIS组件&＃xff1a;

在IIS中安装PSWA应用程序

这里稍微注意下&＃xff0c;出于安全&＃xff0c;PSWA默认使用HTTPS把数据从你的客户端传递到代理服务器。上面的例子中&＃xff0c;我们使用了内置的“Test Certificates”功能。它会在你的IIS中创建一个自签名证书&＃xff0c;这一般不会用于生产环境中&＃xff08;荔非苔注&＃xff1a;不像有关部门&＃xff0c;有钱包二奶&＃xff0c;没钱搞证书&＃xff0c;买个火车票&＃xff0c;浏览器出现的还是红叉叉&＃xff0c;坑爹&＃xff09;。当然&＃xff0c;你还可以参考Technet上关于如何给PSWA网关设置外部的CA和内部PKI证书的SSL证书的文章。

默认情况下&＃xff0c;PSWA使用IIS中的‘Default Web Site’ &＃xff1a;

PSWA使用默认站点

PowerShell Web Access 配置

添加授权规则

PowerShell Web Access现在已经安装完毕&＃xff0c;你可以通过浏览器来访问。我们会输入网关的URL和上面使用的Web应用程序的名字。你会看到一个警告信息&＃xff0c;说该网站使用的证书不是受信任的CA机构颁发&＃xff0c;这是因为我们使用的是测试证书。选择继续&＃xff0c;你会看到一个基于Form的登陆页面。

PowerShell Web Access登陆界面

在用户能够登陆进PSWA网站之前&＃xff0c;我们必须添加一些授权规则。PSWA提供了4层安全级别。

• 基于证书的IIS 安全
• Form验证
• 授权规则&＃xff08;定义指定的一些列用户&＃xff0c;访问指定的一系列目标机器&＃xff09;
• 目标机器授权/会话配置。只可以允许特定的用户去访问一些特定的模块&＃xff0c;命令&＃xff0c;别名等的子集。比如你可以为PowerShell Web Access配置一个受限的运行空间&＃xff0c;或者会话配置。你可以限制你的用户只能使用PowerShell 活动目录的组件&＃xff0c;或者不能访问FailoverClusters 组件。

下面的例子中我们会演示授予用户组’Domain Admins’ 访问‘Domain Controllers’下机器所有的PowerShell组件。&＃xff08;这篇文章中的所有命令只是一个演示&＃xff0c;请您自行包装&＃xff09;。

PowerShell Web Access 添加授权规则

注意&＃xff1a;这个例子中我的域名称是“port389”。所以当我使用“port389”指定域时&＃xff0c;不是指的端口号。另外再次强调一遍PSWA默认使用的是IIS中的‘Default Web Site’站点。

configuration 名称指的是会话信息保存在哪里。一个“会话配置”也称之为“endpoint”&＃xff0c;它是在PSWA这台机器上的设置集合&＃xff0c;定义了连接到终端机器的Windows PowerShell会话&＃xff08;PSSessions&＃xff09;环境。所有的PSSessions都会使用一个会话配置。要指定一个特定的会话配置&＃xff0c;可以使用ConfigurationName 参数&＃xff0c;它暴露了一个预配置的会话。也定义了从PowerShell访问的级别。上面的例子中&＃xff0c;我们使用了一个内置的Microsoft.powershell &＃xff0c;它给予了完全访问所有PowerShell命令&＃xff0c;组件和提供程序的权限。运行Help Get-PSSessionConfiguration 命令学习更多信息&＃xff0c;可以参加在线帮助文档&＃xff0c;我更喜欢后者。

接下来我们选择测试环境中的‘DC1’然后键入一个域管理员的用户名和ID&＃xff0c;就可以登陆了。

PowerShell Web Access登陆

PowerShell Web Access 登陆成功

检测目标机器是否开始远程访问

从上面的界面可以看到我们已经可以访问远程访问DC1上的PowerShell了。注意啦&＃xff0c;你要远程连接的目标机器必须开启了远程访问。我这边所有加入域的Windows Server 2012服务器都启用了远程访问。你也可以做个快速检查&＃xff0c;在PSWA外面&＃xff0c;通过一个常规的PowerShell窗口来使用Enter-PSSesion 。

PowerShell Web Access验证目标主机开启远程连接

如果需要启用&＃xff0c;使用Enable-PSremoting 命令&＃xff0c;也可以参考TenchEd上面关于PowerShell 3.0远程管理的视频教程。

添加会话配置文件

现在我们给用户‘Mark’ 创建一个会话配置文件&＃xff0c;让它能够访问Storage 组件&＃xff0c;取名为Storage1。我们会使用命令New-PSSessionConfigurationFile。注意*PSSessionConfiguration*这类命令是基于Windows PowerShell 3.0&＃xff0c;而powerShell 3.0又是Window 管理框架3.0的一部分。对于一些非windows 8和Windows Server 2012的旧版本操作系统&＃xff0c;比如Windows 7和Windows Server 2008&＃xff0c;可以从这里下载。

登陆到storage服务器上&＃xff08;Storage1&＃xff09;&＃xff0c;执行下面的命令&＃xff1a;

通过上面的命令&＃xff0c;我们导入了storage组件&＃xff0c;定义会话类型为限制远程机器和文件名和存储会话配置文件的路径&＃xff0c;后缀名为.pssc

注册会话配置文件

接下来我们必须注册这个会话配置文件&＃xff08;此操作仍然是目标机器-Storage1&＃xff09;&＃xff0c;它会被来路远程会话调用。在下面的语法中&＃xff0c;我们会取个配置名称为StorageOnly&＃xff0c;然后使用RunAs参数指定被远端目标机器&＃xff08;Storage1&＃xff09;调用建立会话时&＃xff0c;所使用的管理员用户凭据。语法中也包括了–ShowSecurityDescriptorUI &＃xff0c;这种方式方便更新ACL&＃xff0c;允许Mark读取和执行会话配置文件&＃xff08;看下面的第二张截图&＃xff09;。最后&＃xff0c;我们指定了同样的文件名和路径&＃xff0c;并制定扩展名为.pssc 的文件&＃xff0c;这个文件是由上一条命令创建的。

Powershell Web Access 添加会话配置文件

Powershell Web Access 注册会话配置文件

注意警告信息&＃xff0c;使用了“RunAs”后&＃xff0c;该endpoint会运行在提升的权限下。所以&＃xff0c;我们需要限制会话的作用域。有两种方式&＃xff0c;第一种&＃xff0c;‘Mark’ 只被允许使用Storage的PowerShell组建下的命令&＃xff08;可以看上面的 New-PSSessionConfigurationFile 语法&＃xff09;&＃xff1b;第二种&＃xff0c;‘Mark’ 只能读取和运行PowerShell会话配置文件&＃xff08;看上面的截图&＃xff09;。他不能更新这个配置文件&＃xff0c;来给自己添加额外的权限。&＃xff08;荔非苔注&＃xff1a;就像有的人自己给自己升官&＃xff0c;自己给自己颁发神马联合国奖状一样&＃xff09;&＃xff0c;要卸载已经注册过的配置文件&＃xff0c;可以使用Unregister-PSSessionConfiguration 命令。

接下来&＃xff0c;我们回到PSWA服务器上&＃xff0c;定义一条授权规则给Mark&＃xff0c;然后远程连接到Storage1这台机器上&＃xff0c;并执行StorageOnly 会话。

PowerShell Web Access 根据会话配置文件添加授权规则

注意&＃xff1a;上面的语法中&＃xff0c;我们必须使用在服务器&＃xff08;Storage1&＃xff09;上提前定义&＃xff0c;保存&＃xff0c;和注册的相同的会话配置文件名称(StorageOnly) 。

指定会话配置来连接PowerShell Web Access

接下来&＃xff0c;测试一下我们的配置&＃xff0c;打开PSWA网页&＃xff0c;提供Mark的用户名和密码&＃xff0c;然后展开‘可选链接设置’。在可选链接设置中&＃xff0c;必须提供会话配置的名称&＃xff08;StorageOnly&＃xff09;。

使用自定义会话配置登陆PowerShell Web Access

登陆后&＃xff0c;用户Mark只能访问Storage服务器上的Storage组件下的命令了&＃xff0c;其它命令不可用&＃xff0c;也不可见。

限制PowerShell Web Access的支持的命令

你还可以登陆到PSWA机器上通过运行Get-PswaAuthorizationRule 查看激活的授权规则&＃xff0c;使用 Remove-PswaAuthorizationRule 命令删除一条规则。我说过的&＃xff0c;PowerShell是很直观的&＃xff1a;&＃xff09;

PowerShell Web Access 查看激活的授权规则

还有一种很好方式限制你的管理员通过PSWA基础设施可以运行的命令。还记得我们上面在 (Storage1)创建和配置PSSessionConfiguration时吗&＃xff1f;其实New-PSSessionConfigurationFile这条命令还有一个选项 –VisibleCmdlets 。该选项可以将少量命令&＃xff08;支持通配符&＃xff09;暴露给远程连接的用户。比如下面的截图就是我针对DC服务器只把Get-ADUser 命令加进来后的效果了&＃xff0c;而不是整个活动目录的命令。要看当前机器支持的远程命令&＃xff0c;可以在远程会话上运行&＃xff1a;

让PowerShell Web Access只支持某条命令

另外我得说明啦&＃xff0c;会话配置文件并不是PSWA的专有的&＃xff0c;它最开始是用在PowerShell其它远程机制中的。比如 Enter-PSSession。当然你可能也注意到了&＃xff0c;出于方便有几条命令会在你定义会话类型限制时&＃xff0c;就被自动加入到会话中&＃xff0c;比如Exit-PSSession and Get-Help 。

PSWA会话默认会在15分钟后失效和超时&＃xff0c;但是你参考“IIS管理站点设置”可以更改这个会话过期的时间。

PowerShell Web Access 会话超时

PSWA需要什么基础环境&＃xff1f;

• 网关服务器必须运行windows Server 2012 &＃43; 。
• 目标机器运行Windows 7&＃xff0c;2k8&＃xff0c;2k8 R2和PowerShell 2.0&＃43;&＃xff0c;并且WinRM2.0得启用。
• 目标机器运行在Windows 8&＃43;&＃xff0c;或者Windows Server 2012 &＃xff0c;WinRM启用。
• 访问PSWA站点&＃xff0c;需要任意支持HTML&＃xff0c;Java&＃xff0c;COOKIEs的浏览器即可。

再给你送个福利&＃xff0c;PowerShell 3.0引入了许多非常棒命令&＃xff0c;尤其针对Windwos基础环境的管理。你可能会喜欢一条命令Show-Command &＃xff0c;因为它缩短了你学习PowerShell的曲线。Show-Command 会代开一个对话框&＃xff0c;让你在图形界面输入参数。挺有用&＃xff0c;帮助你构造合适的命令参数语法。完了后&＃xff0c;你可以直接执行它&＃xff0c;也可以把它复制到剪贴板。

构造PowerShell参数语法

结论

PowerShell Web Access 结合*PSSessionConfiguration * 命令给你在IT基础环境中的分层式远程管理和委派权限提供了非常大的方便。你可以利用PowerShell 3.0和WinRM的通过网关集中访问一组目标服务器。使用Web客户端进行访问非常方便&＃xff0c;并能通过合适的权限委托确保安全。

原文作者&＃xff1a;Rick
原文连接&＃xff1a;Want Remote PowerShell Management from your browser?
翻译&＃xff1a;荔非苔