Konto nie może uruchomić PowerShell

Konto niemogące uruchomić PowerShell wskazuje na zasadę wykonywania skryptów (Execution Policy) lub politykę AppLocker blokującą powłokę dla kont bez uprawnień administratora.

Czym oznacza komunikat „Konto nie może uruchomić PowerShell”

Komunikat „Konto nie może uruchomić PowerShell” oznacza, że dla używanego profilu system Windows odmówił uruchomienia powłoki PowerShell albo ograniczył możliwość wykonywania poleceń i skryptów. Nie musi to oznaczać uszkodzenia samego programu. Przyczyną może być ustawienie zabezpieczeń przypisane do konta, reguła lokalna lub domenowa, ograniczenie wynikające z członkostwa w grupach użytkowników albo blokada zastosowana przez oprogramowanie ochronne.

PowerShell jest narzędziem systemowym służącym między innymi do automatyzacji czynności administracyjnych, odczytywania konfiguracji, zarządzania usługami i wykonywania skryptów. Dostęp do niego może zostać ograniczony celowo, aby zwykłe konto nie mogło zmieniać ustawień systemu, uruchamiać niezatwierdzonych poleceń ani wykonywać kodu pobranego z nieznanego źródła. Z tego powodu sama obecność komunikatu nie przesądza jeszcze o awarii systemu.

W praktyce trzeba rozróżnić kilka sytuacji: całkowity brak dostępu do aplikacji PowerShell, możliwość otwarcia konsoli przy jednoczesnym zakazie wykonywania skryptów, blokadę konkretnego pliku albo odmowę wykonania polecenia wymagającego podwyższonych uprawnień. Każdy z tych przypadków może wyświetlać podobny komunikat, ale wymaga innego sprawdzenia.

Kontekst techniczny i różnica między ograniczeniami

Jednym z mechanizmów wpływających na działanie PowerShell jest Execution Policy, czyli zasada określająca, w jakich warunkach mogą być uruchamiane skrypty. Ustawienie może dotyczyć bieżącej sesji, konkretnego użytkownika, całego komputera albo środowiska zarządzanego centralnie. Zasada ta nie jest klasycznym systemem uprawnień do plików, dlatego jej zmiana nie zawsze rozwiązuje problem z uruchomieniem samej aplikacji.

Inny poziom ochrony stanowią reguły AppLocker lub podobne zasady kontroli aplikacji. Mogą one blokować plik wykonywalny PowerShell, określone wersje powłoki, skrypty z wybranych lokalizacji albo programy uruchamiane przez konto bez uprawnień administratora. W takim przypadku próba zmiany ustawień przez zwykłego użytkownika może nie przynieść skutku, ponieważ nadrzędna reguła bezpieczeństwa nadal będzie obowiązywać.

Znaczenie mają również uprawnienia do katalogów, dziedziczenie praw, właściwości pliku, oznaczenie pobranego skryptu jako pochodzącego z Internetu oraz ustawienia kontroli konta użytkownika. Niekiedy PowerShell otwiera się poprawnie, lecz polecenie kończy się błędem „odmowa dostępu”. Wtedy problem dotyczy konkretnej operacji, a niekoniecznie uruchomienia powłoki.

W systemach zarządzanych przez organizację lokalne ustawienia mogą być nadpisywane przez zasady grupy. Należy też uwzględnić różnicę między Windows PowerShell a nowszą wersją PowerShell. Są to odrębne składniki, które mogą mieć inne ścieżki uruchamiania, inne reguły kontroli aplikacji i różne zależności. Próba uruchomienia niewłaściwego pliku lub skrótu może więc prowadzić do błędnej oceny sytuacji.

Typowe problemy i błędy towarzyszące blokadzie - Konto nie może uruchomić PowerShell

Najczęściej spotykany jest przypadek, w którym powłoka daje się otworzyć, lecz przy uruchamianiu pliku z rozszerzeniem .ps1 pojawia się odmowa wykonania skryptu. Może być wtedy wyświetlana informacja o zablokowanej zasadzie wykonywania, braku podpisu cyfrowego albo konieczności użycia właściwego zakresu uprawnień. Nie powinno się bez sprawdzenia ustawiać szerokiego wyjątku dla wszystkich skryptów, ponieważ osłabia to ochronę systemu.

Innym błędem jest komunikat informujący, że aplikacja została zablokowana przez administratora. Taki wynik zwykle wskazuje na regułę kontroli aplikacji, ograniczenie zapisane w zasadach systemowych albo działanie programu ochronnego. W tej sytuacji instalowanie kolejnych kopii PowerShell lub tworzenie nowych skrótów zazwyczaj nie usuwa przyczyny.

Może wystąpić także błąd wynikający z uszkodzonego profilu użytkownika. Objawami bywają nieprawidłowe działanie poleceń, brak dostępu do katalogu profilu, problemy z wczytaniem modułów lub różne zachowanie PowerShell na dwóch kontach tego samego komputera. Warto wtedy porównać działanie na koncie testowym, sprawdzić dzienniki zdarzeń oraz ustalić, czy ograniczenie dotyczy jednego użytkownika, czy wszystkich profili.

Do diagnostyki przydaje się sprawdzenie sposobu uruchomienia, identyfikatora konta, członkostwa w grupach, obowiązujących zasad zabezpieczeń oraz wpisów w dziennikach systemowych. Należy zachować ostrożność przy poleceniach kopiowanych z Internetu, szczególnie tych, które zmieniają zasady wykonywania, wyłączają kontrolę zabezpieczeń lub uruchamiają pobrany kod. Zmiana ustawień bez rozpoznania źródła blokady może utrudnić późniejsze ustalenie przyczyny.

Kiedy warto zgłosić problem do serwisu - Konto nie może uruchomić PowerShell

Do serwisu warto zgłosić się wtedy, gdy PowerShell pozostaje niedostępny mimo korzystania z właściwego konta, komunikat pojawia się po aktualizacji systemu, blokada dotyczy również innych narzędzi administracyjnych albo nie wiadomo, która zasada ogranicza uruchamianie powłoki. Pomoc może być potrzebna także po zmianie komputera w środowisku firmowym, po usunięciu złośliwego oprogramowania lub po przywróceniu systemu z kopii, gdy część ustawień zabezpieczeń została odtworzona nieprawidłowo.

W Warszawskim Pogotowiu Komputerowym 24/7 można zlecić sprawdzenie konfiguracji konta, zasad wykonywania skryptów, reguł kontroli aplikacji oraz dzienników systemowych w celu ustalenia rzeczywistego źródła komunikatu. Analiza powinna obejmować również kontrolę integralności składników Windows, działanie PowerShell na innym profilu i ocenę, czy blokada jest zamierzonym zabezpieczeniem, czy skutkiem błędnej konfiguracji.

Przed przekazaniem komputera dobrze jest przygotować dokładną treść komunikatu, wskazać moment jego pojawienia się oraz opisać, czy problem dotyczy otwarcia PowerShell, wykonywania skryptu, czy pojedynczego polecenia. Przydatne może być również podanie nazwy programu ochronnego, informacji o ostatnich aktualizacjach i tego, czy konto ma uprawnienia administratora. Dzięki temu łatwiej oddzielić ograniczenie wynikające z polityki bezpieczeństwa od usterki profilu użytkownika, uszkodzenia plików systemowych albo nieprawidłowej konfiguracji uprawnień.