PowerShell-Remoting: WinRM über GPOs konfigurieren und Firewall-Ausnahmen einrichten

"PC-1","PC-2" | foreach{$_; Test-WsMan $_}

Befinden sich nur wenige Rechner im Netz oder sind sie nicht Mitglied in einer Domäne, dann kann man WinRM manuell aktivieren. Ansonsten empfiehlt es sich jedoch, dafür die Gruppenrichtlinien zu nutzen.

Mit ihrer Hilfe muss man drei Aufgaben bewältigen: Die Verwaltung über WinRM zulassen, den WinRM-Dienst automatisch starten und die benötigte Firewall-Ausnahme einrichten.

WinRM zulassen

Das Freischalten von WinRM erfolgt über die Einstellung Remoteserververwaltung über WinRM zulassen unter Computerkonfiguration => Richtlinien => Administrative Vorlagen => Windows-Komponenten => Windows-Remoteverwaltung => WinRM-Dienst.

Wenn man sie aktiviert, dann kann man mit Hilfe der IP-Filter den Zugang auf bestimmte Adapter beschränken.

Zu diesem Zweck gibt man in das entsprechende Feld entweder einzelne IP-Adressen von Quellsystemen ein, die durch Kommata getrennt werden, oder man definiert einen Bereich nach dem Muster 192.168.50.50 - 192.168.50.60.

Ein Stern dient als Wildcard, er lässt sich aber nicht als Platzhalter für einzelne Oktetts innerhalb der IP-Adressen nutzen.

WinRM-Dienst automatisch starten

Im zweiten Schritt sorgt man dafür, dass der benötigte WinRM-Dienst auf den Zielsystemen automatisch gestartet wird und damit immer verfügbar ist. Dafür kann man wahlweise eine Richtlinie oder die Group Policy Preferences bemühen (siehe dazu meine Anleitung).

In den meisten Fällen wird dafür die einfachere herkömmliche Richtlinie unter Computerkonfiguration => Richtlinien => Windows-Einstellungen =>Sicherheitseinstellungen => Systemdienste ausreichen.

Firewall-Regel für WinRM einrichten

Schließlich muss man noch sicherstellen, dass WinRM-Anfragen auf den Zielrechnern nicht von der Firewall abgewiesen werden. Dies erreicht man, indem man die vordefinierte eingehende Regel für WinRM aktiviert.

Die dafür zuständige Einstellung nimmt man unter Computerkonfiguration => Richtlinien => Windows-Einstellungen => Sicherheitseinstellungen => Windows-Firewall mit erweiterter Sicherheit => Eingehende Regeln vor.

Dort startet man aus dem Kontextmenü mit dem Befehl Neue Regel einen Assistenten und aktiviert anschließend die Option Vordefiniert.

Nun wählt man im Pull-Down-Menü den Eintrag Windows-Remoteverwaltung und deaktiviert im folgenden Dialog die Regel für das öffentliche Firewall-Profil, um dem Missbrauch von WinRM vorzubeugen.

Zusätzlich empfiehlt es sich, nach dem Einrichten der Regel deren Eigenschaften zu öffnen und sie unter der Registerkarte Erweitert auch für das Profil Privat außer Kraft setzen. Damit lassen sich die betroffenen PCs nur mehr von Rechnern aus remote verwalten, die Mitglied in der Domäne sind.

Sobald das GPO auf die Zielsysteme angewandt wurde, sollte sich mit einem der genannten Mechanismen eine Remote-Session aufbauen lassen.

Diese bleibt standardmäßig aber nur Konten mit administrativen Rechten vorbehalten. Möchte man jedoch Aufgaben wie das Management von Hyper-V an Standardbenutzer delegieren, dann muss man ihnen auf den Zielrechnern zusätzliche Rechte einräumen (siehe dazu: WinRM für Standardbenutzer zulassen).