PowerShell-ExecutionPolicy setzen, Scripts signieren und ausführen

Man signiert PowerShell-Scripts, die man selbst erstellt hat oder denen man vertraut, und verbietet die Ausführung unsignierter Scripts (zum begrenzten Schutz durch die Execution Policy siehe diese ausführliche Erläuterung).

Richtlinien für die Ausführung: Get-ExecutionPolicy und Set-ExecutionPolicy

Ob und welche PowerShell-Scripts auf einem System ausgeführt werden können, legt eine Richtlinie fest. Über das Kommando Get-ExecutionPolicy in einem PowerShell-Fenster erfährt man, welche gültig ist.

Ändern kann man sie, und zwar nur mit Administratorrechten, mittels des Befehls Set-ExecutionPolicy oder per Gruppenrichtlinie für die Domäne. Die möglichen Werte für ExecutionPolicy sind folgende:

Eigene Scripts signieren

Um eigene Scripts ausführen zu können, jedoch trotzdem die Sicherheit zu behalten, dass unsignierter oder nach der Signatur veränderter Code nicht ausgeführt werden kann, eignet sich als ExecutionPolicy am besten AllSigned. Um sie sinnvoll zu verwenden, muss man eigene Scripts und solche, denen man vertraut, fortan signieren.

Dazu fordert man von seiner Zertifizierungsstelle zunächst ein Zertifikat mit dem Zweck Codesignatur an. Mittels des Kommandos

Get-ChildItem cert:\CurrentUser\My -codesigning

prüft man dessen Vorhandensein in der PowerShell-Umgebung. Signieren kann man sein Script dann per

Set-AuthenticodeSignature ‹Script.ps1› @(Get-ChildItem cert:\CurrentUser\My -codesigning)[0]

wozu im Gegensatz zu einer globalen Richtlinienänderung keine Administratorrechte nötig sind. Direkt nach der Installation des Codesignatur-Zertifikats muss man noch einmal am Prompt bestätigen, dass man dem Herausgeber vertraut. Damit wird das Zertifikat in den Speicher für die Vertrauenswürdigen Herausgeber kopiert und man kann fortan damit signierte Scripts ohne weitere Nachfragen ausführen.