Enable-WSManCredSSP (Microsoft.WSMan.Management)

Включить-WSManCredSSP

Модуль:: Microsoft.WSMan.Management

Включает проверку подлинности поставщика поддержки безопасности учетных данных (CredSSP) на компьютере.

Синтаксис

Enable-WSManCredSSP
      [[-DelegateComputer] <String[]>]
      [-Force]
      [-Role] <String>
      [<CommonParameters>]

Описание

Этот командлет доступен только на платформе Windows.

Командлет Enable-WSManCredSSP включает проверку подлинности CredSSP на клиентском или серверном компьютере. При использовании аутентификации CredSSP учетные данные пользователя передаются на удаленный компьютер для проверки подлинности. Этот тип аутентификации предназначен для команд, которые создают удаленный сеанс из другого удаленного сеанса. Например, если вы хотите запустить фоновое задание на удаленном компьютере, используйте этот тип аутентификации.

Enable-WSManCredSSP может включить CredSSP на клиенте или сервере. Чтобы включить CredSSP на клиенте, укажите Client в параметре Role. Клиенты делегируют явные учетные данные серверу при достижении аутентификации сервера. Чтобы включить CredSSP на сервере, укажите Server в параметре Role. Сервер действует как делегат для клиентов. Дополнительную информацию см. в разделе Роль в разделе «Параметры».

Осторожность

Аутентификация CredSSP делегирует учетные данные пользователя с локального компьютера на удаленный компьютер. Такая практика увеличивает риск безопасности удаленной операции. Если удаленный компьютер взломан, то при передаче ему учетных данных эти учетные данные можно использовать для управления сетевым сеансом.

Примеры

Пример 1. Делегирование учетных данных клиента

В этом примере разрешается делегировать учетные данные клиента компьютеру с использованием полного доменного имени.

Enable-WSManCredSSP -Role "Client" -DelegateComputer "Server02.fabrikam.com"

cfg         : http://schemas.microsoft.com/wbem/wsman/1/config/client/auth
lang        : en-US
Basic       : true
Digest      : true
Kerberos    : true
Negotiate   : true
Certificate : true
CredSSP     : true

Пример 2. Делегирование учетных данных клиента всем компьютерам в домене.

В этом примере разрешено делегировать учетные данные клиента всем компьютерам в домене fabrikam.com. Подстановочный знак звездочки (*) указывает все компьютеры.

Примечание

Использование подстановочных знаков с параметром DelegateComputer может включить CredSSP на большем количестве компьютеров, чем необходимо.

Enable-WSManCredSSP -Role "Client" -DelegateComputer "*.fabrikam.com"

cfg         : http://schemas.microsoft.com/wbem/wsman/1/config/client/auth
lang        : en-US
Basic       : true
Digest      : true
Kerberos    : true
Negotiate   : true
Certificate : true
CredSSP     : true

Пример 3. Делегирование учетных данных клиента нескольким компьютерам

В этом примере разрешено делегировать учетные данные клиента нескольким компьютерам.

$servers = "server02.fabrikam.com", "server03.fabrikam.com", "server04.fabrikam.com"
Enable-WSManCredSSP -Role "Client" -DelegateComputer $servers

cfg         : http://schemas.microsoft.com/wbem/wsman/1/config/client/auth
lang        : en-US
Basic       : true
Digest      : true
Kerberos    : true
Negotiate   : true
Certificate : true
CredSSP     : true

Переменная $servers содержит список имен серверов. Enable-WSManCredSSP использует параметр Role для указания роли Клиент. DelegateComputer получает имена компьютеров из переменной $servers.

Пример 4. Разрешить компьютеру выступать в качестве делегата

Этот пример позволяет компьютеру выступать в качестве делегата для другого. Командлет Enable-WSManCredSSP, показанный в предыдущих примерах, включает только проверку подлинности CredSSP на клиенте и указывает удаленные компьютеры, которые могут действовать от его имени. Чтобы удаленный компьютер выступал в качестве делегата для клиента, для элемента CredSSP в узле Service WSMan должно быть установлено значение true. В этом примере элементу CredSSP в узле Service WSMan присваивается значение true.

Enable-WSManCredSSP -Role "Server"

Пример 5. Разрешите компьютеру выступать в качестве делегата с помощью Set-Item

В этом примере компьютер может выступать в качестве делегата для другого компьютера. Команды Enable-WSManCredSSP, показанные в предыдущих примерах, включают проверку подлинности CredSSP только на клиентском компьютере и указывают удаленные компьютеры, которые могут действовать от имени клиентского компьютера. Чтобы удаленный компьютер выступал в качестве делегата для клиентского компьютера, для элемента CredSSP в каталоге Service поставщика WSMan должно быть установлено значение true.

Connect-WSMan -ComputerName "server02"
Set-Item -Path "WSMan:\server02\service\auth\credSSP" -Value $True

Connect-WSMan создает соединение с удаленным компьютером server02. Set-Item использует параметр Path для указания местоположения поставщика WSMan. Параметр Value устанавливает для параметра Service значение true.

Параметры

-DelegateComputer

Указывает серверы, которым делегируются учетные данные клиента. Лучше всего использовать полные доменные имена.

Подстановочные знаки принимаются, но можно включить CredSSP на большем количестве компьютеров, чем необходимо.

Если параметр Роль имеет значение Клиент, необходимо указать этот параметр. Если Роль - Сервер, не указывайте этот параметр.

Тип :: String[]
Позиция:: 1
Значение по умолчанию:: None
Необходимый:: False
Примите ввод конвейера:: False
Принимайте подстановочные знаки:: True

-Force

Принудительно запускает команду без запроса подтверждения пользователя.

Тип :: SwitchParameter
Позиция:: Именованный
Значение по умолчанию:: False
Необходимый:: False
Примите ввод конвейера:: False
Принимайте подстановочные знаки:: False

-Role

Указывает, следует ли включать CredSSP в качестве клиента или сервера. Допустимые значения для этого параметра: Клиент и Сервер.

Если вы укажете Клиент, будут выполнены следующие действия. Эти настройки позволяют клиенту делегировать явные учетные данные серверу при достижении аутентификации сервера.

Включает CredSSP на клиенте.
Устанавливает для параметра WS-Management \\Client\Auth\CredSSP значение true.
Устанавливает для политики Windows CredSSP AllowFreshCredentials значение WSMan/Delegate на клиенте.

Если вы укажете Сервер, будут выполнены следующие действия. Этот параметр политики позволяет серверу выступать в качестве делегата для клиентов.

Включает CredSSP на сервере.
Устанавливает для параметра WS-Management \\Service\Auth\CredSSP значение true.

Тип :: String
Принятые значения:: Клиент, Сервер
Позиция:: 0
Значение по умолчанию:: None
Необходимый:: True
Примите ввод конвейера:: False
Принимайте подстановочные знаки:: False

Входы

Нет

Вы не можете передавать объекты в этот командлет.

Выходы

XmlElement

Если проверка подлинности CredSSP успешно включена, этот командлет возвращает объект XMLElement.

Примечания

Чтобы отключить проверку подлинности CredSSP, используйте командлет Disable-WSManCredSSP.