PowerShell Remoting: полное руководство по удалённому управлению через WinRM

Заходить на каждый сервер через RDP — это, если честно, каменный век. Пять серверов ещё терпимо, а когда их двадцать пять? PowerShell Remoting через WinRM решает эту проблему радикально: одна команда — и вы работаете сразу на всех машинах, не вставая с кресла. Наши инженеры в АйТи Фреш используют этот инструмент каждый день — и на инфраструктурах клиентов, и в собственных задачах.

Что такое PowerShell Remoting и зачем он нужен?

PowerShell Remoting — это удалённое выполнение команд поверх протокола WS-Management (WinRM). Грубо говоря, SSH для Windows. Только вместо текстового вывода вы получаете настоящие объекты PowerShell — их можно сразу фильтровать, сортировать, передавать дальше по конвейеру.

• Выполнять команды на удалённых серверах: Invoke-Command
• Открывать интерактивные сессии: Enter-PSSession
• Копировать файлы между машинами: Copy-Item -ToSession
• Запускать скрипты параллельно — хоть на сотне серверов одновременно
• Разграничивать доступ через Just Enough Administration (JEA) — минимум прав, максимум контроля

Как правильно включить WinRM на сервере?

# Проверяем статус WinRM
Get-Service WinRM

# Быстрая настройка (от администратора)
Enable-PSRemoting -Force

# Что делает Enable-PSRemoting:
# 1. Запускает службу WinRM
# 2. Ставит автозапуск
# 3. Создаёт HTTP listener на порту 5985
# 4. Создаёт правило в Windows Firewall
# 5. Регистрирует конфигурации сессий

Как настроить WinRM через групповые политики (GPO)?

В корпоративной среде мы почти всегда настраиваем WinRM централизованно через GPO — руками ходить по машинам никто не будет:

# Путь в GPO:
# Computer Configuration -> Policies -> Administrative Templates ->
# Windows Components -> Windows Remote Management (WinRM) -> WinRM Service
# 1. Allow remote server management through WinRM
#    IPv4 filter: конкретные подсети администраторов
# 2. Windows Remote Management (WS-Management) -> Automatic
# 3. Windows Firewall -> Windows Remote Management rule

Как настроить HTTPS для WinRM (порт 5986)?

# Создаём самоподписанный сертификат
$cert = New-SelfSignedCertificate -DnsName "server.company.ru"   -CertStoreLocation Cert:\LocalMachine\My

# Создаём HTTPS listener
New-WSManInstance -ResourceURI winrm/config/Listener   -SelectorSet @{Transport="HTTPS"; Address="*"}   -ValueSet @{CertificateThumbprint=$cert.Thumbprint}

# Открываем порт
New-NetFirewallRule -Name "WinRM-HTTPS" -DisplayName "WinRM HTTPS"   -Enabled True -Direction Inbound -Protocol TCP -LocalPort 5986

Как выполнять команды на нескольких серверах одновременно?

$servers = "SRV-DC01", "SRV-DC02", "SRV-FILE01", "SRV-SQL01"

Invoke-Command -ComputerName $servers -ScriptBlock {
    [PSCustomObject]@{
        Server = $env:COMPUTERNAME
        Uptime = (Get-CimInstance Win32_OperatingSystem).LastBootUpTime
        FreeRAM = [math]::Round((Get-CimInstance Win32_OperatingSystem).FreePhysicalMemory / 1MB, 1)
        DiskFree = [math]::Round((Get-PSDrive C).Free / 1GB, 1)
    }
} | Format-Table -AutoSize

Показательный случай из практики. Администратор клиента каждое утро тратил по 2 часа на обход 25 серверов через RDP — просто проверить, что всё живое. Мы написали скрипт мониторинга на PowerShell Remoting. Теперь та же проверка занимает 30 секунд.

Как работает Just Enough Administration (JEA)?

JEA — это способ пустить человека в PowerShell Remoting, не давая ему лишнего. Указываете конкретный набор разрешённых команд — и больше ничего он не сделает, даже если захочет:

# Создаём файл ролей
New-PSRoleCapabilityFile -Path "C:\JEA\HelpDesk.psrc"   -VisibleCmdlets "Restart-Service", "Get-Service", "Get-Process"

# Конфигурация сессии
New-PSSessionConfigurationFile -Path "C:\JEA\HelpDesk.pssc"   -SessionType RestrictedRemoteServer -RunAsVirtualAccount   -RoleDefinitions @{"COMPANY\HelpDesk" = @{RoleCapabilities = "HelpDesk"}}

# Регистрируем
Register-PSSessionConfiguration -Name "HelpDesk" -Path "C:\JEA\HelpDesk.pssc" -Force

Как использовать SSH вместо WinRM в PowerShell 7?

# Установка OpenSSH Server
Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0
Start-Service sshd
Set-Service -Name sshd -StartupType Automatic

# Подключение через SSH
Enter-PSSession -HostName linux-srv01 -UserName admin -SSHTransport

Какие типичные ошибки при настройке WinRM?

• WinRM не включён — получаете ошибку «WinRM cannot process the request». Первым делом проверяйте именно это
• Кривой TrustedHosts — люди ставят * и забывают об этом. Прописывайте конкретные адреса
• Firewall блокирует порты 5985/5986 — тихо блокирует, без внятных сообщений об ошибке
• Double-hop проблема — классическая боль. Лечится через CredSSP или Resource-Based Kerberos Delegation
• Basic-аутентификация — пароль уходит в Base64, то есть фактически открытым текстом. Только Kerberos, без вариантов

Как решить проблему Double-Hop?

# Вариант 1: CredSSP
Enable-WSManCredSSP -Role Server -Force
Enable-WSManCredSSP -Role Client -DelegateComputer "srv-a.company.ru" -Force

# Вариант 2: Resource-Based Kerberos Delegation (рекомендуем)
Set-ADComputer -Identity "SRV-SQL01"   -PrincipalsAllowedToDelegateToAccount (Get-ADComputer "SRV-APP01")

Как мониторить и логировать PowerShell Remoting?

# GPO: Windows PowerShell
# 1. Turn on Module Logging -> *
# 2. Turn on PowerShell Script Block Logging -> Enable
# 3. Turn on PowerShell Transcription -> Enable

Get-WinEvent -LogName "Microsoft-Windows-WinRM/Operational" -MaxEvents 50

Когда обратиться к профессионалам?

• Нужна JEA с разграничением ролей — кто и что может делать на серверах
• Требуется HTTPS с PKI-сертификатами вместо HTTP
• Надо решить Double-hop — самостоятельно это делается долго и с граблями
• Хотите автоматизировать обслуживание десятков серверов и не тратить на рутину часы каждый день
• Есть сомнения в том, насколько текущая конфигурация WinRM вообще безопасна