PowerShell zablokowany przez politykę grupy

PowerShell zablokowany przez politykę grupy wskazuje na ustawienie „Uniemożliwij dostęp do wiersza polecenia” aktywne w zasadach lokalnych lub domenowych.

Na czym polega blokada PowerShell przez politykę grupy

Komunikat o zablokowaniu PowerShell przez politykę grupy oznacza, że uruchamianie powłoki zostało ograniczone przez reguły zapisane w systemie Windows. Takie ustawienie może obowiązywać na pojedynczym komputerze, w lokalnych zasadach zabezpieczeń albo wynikać z konfiguracji narzuconej przez administratora domeny. W praktyce próba otwarcia programu PowerShell, wykonania skryptu lub uruchomienia polecenia z innego narzędzia kończy się odmową dostępu, komunikatem o ograniczeniu administracyjnym albo zamknięciem procesu.

Nie zawsze oznacza to awarię samego PowerShell. Często jest to zamierzone zabezpieczenie, które ma ograniczyć wykonywanie nieautoryzowanych poleceń, skryptów pobranych z internetu lub plików uruchamianych z nietypowych lokalizacji. Blokada może jednak pozostać po zmianie konfiguracji komputera, usunięciu programu ochronnego, migracji profilu użytkownika lub nieudanej aktualizacji systemu. W niektórych przypadkach problem pojawia się także wtedy, gdy zasada jest aktywna tylko dla określonego konta albo konkretnej grupy użytkowników.

Do ustalenia przyczyny potrzebne jest rozróżnienie między blokadą wynikającą z zasad grupy, ograniczeniem kontroli aplikacji, regułą programu antywirusowego oraz brakiem uprawnień do danego pliku. Sama ponowna instalacja PowerShell zwykle nie usuwa takiej przeszkody, ponieważ ustawienie blokujące znajduje się poza głównymi plikami programu.

Kontekst techniczny i porównanie z innymi ograniczeniami - PowerShell zablokowany przez politykę grupy

Polityka grupy jest mechanizmem zarządzania ustawieniami systemu Windows. Może definiować, jakie programy wolno uruchamiać, z jakich funkcji można korzystać i jakie działania wymagają podwyższonych uprawnień. W środowisku lokalnym reguły są zapisane na danym komputerze, natomiast w środowisku zarządzanym mogą być pobierane z centralnej konfiguracji. Z tego powodu zmiana ustawienia na jednym urządzeniu nie zawsze daje trwały rezultat, jeżeli po ponownym zalogowaniu lub odświeżeniu zasad zostanie przywrócona reguła nadrzędna.

Blokadę PowerShell warto odróżnić od kilku podobnych sytuacji:

• przy blokadzie przez politykę grupy system odrzuca uruchomienie programu lub określonej funkcji zgodnie z zapisanym ustawieniem administracyjnym;
• przy ograniczeniu wykonywania skryptów powłoka może się otworzyć, ale odmówić uruchomienia pliku z rozszerzeniem .ps1;
• przy braku uprawnień problem dotyczy konkretnego działania, katalogu, klucza rejestru albo procesu wymagającego wyższego poziomu dostępu;
• przy ingerencji programu ochronnego komunikat może wskazywać na zagrożenie, niepożądane zachowanie skryptu lub naruszenie reguł kontroli aplikacji;
• przy uszkodzeniu profilu użytkownika ograniczenie może występować tylko na jednym koncie, mimo że na innym konto PowerShell działa prawidłowo.

Do sprawdzenia przyczyny można wykorzystać edytor lokalnych zasad grupy, Podgląd zdarzeń, ustawienia zabezpieczeń systemu oraz informacje o aktywnych regułach uruchamiania aplikacji. W systemach zarządzanych należy zachować ostrożność, ponieważ ręczne obejście ustawienia może naruszyć zasady przyjęte dla danego komputera. Najpierw powinno się ustalić, czy urządzenie należy do organizacji, czy używane konto ma uprawnienia administracyjne oraz czy blokada obejmuje cały system, czy tylko wybraną ścieżkę uruchamiania.

Typowe problemy towarzyszące i błędy diagnostyczne - PowerShell zablokowany przez politykę grupy

Jednym z częstszych błędów jest traktowanie każdego komunikatu o odmowie dostępu jako uszkodzenia systemu. W rzeczywistości PowerShell może być sprawny, a problem wynikać z jednej aktywnej reguły. Podobnie nie powinno się bez sprawdzenia usuwać wpisów z rejestru ani wyłączać wszystkich zabezpieczeń. Takie działania mogą usunąć ważne ustawienia ochronne, a jednocześnie nie zmienią zasady narzuconej z innego źródła.

Problemy mogą występować w różnych wariantach:

• PowerShell nie uruchamia się z menu Start, ale działa z określonej konsoli administracyjnej;
• powłoka otwiera się, lecz skrypt zostaje zatrzymany przed wykonaniem;
• polecenie działa na koncie administratora, ale nie na koncie standardowym;
• po restarcie wprowadzona zmiana znika, ponieważ ustawienie jest ponownie stosowane;
• blokada dotyczy tylko plików pobranych z sieci albo zapisanych w folderze tymczasowym;
• komunikat pojawia się po aktualizacji Windows, zmianie programu ochronnego lub przywróceniu ustawień zabezpieczeń;
• uruchomienie zostaje zatrzymane przez regułę ograniczającą aplikacje, mimo że edytor zasad grupy nie pokazuje oczywistej przyczyny.

Podczas diagnozy warto zanotować pełną treść komunikatu, sposób uruchamiania PowerShell, nazwę używanego konta oraz moment, od którego występuje problem. Znaczenie ma również to, czy blokowane są wszystkie polecenia, czy tylko jeden skrypt. Jeżeli dotyczy to pliku skryptowego, należy przeanalizować jego pochodzenie, właściwości pliku i oznaczenie pobrania z internetu. Jeżeli odrzucane jest samo uruchomienie programu, większą uwagę trzeba poświęcić zasadom systemowym, kontroli aplikacji oraz uprawnieniom użytkownika.

W środowisku domowym przydatne bywa porównanie zachowania na drugim koncie użytkownika, uruchomienie narzędzi systemowych w trybie diagnostycznym oraz sprawdzenie ostatnich zmian konfiguracji. W komputerze używanym służbowo właściwym postępowaniem jest kontakt z administratorem, ponieważ lokalne modyfikacje mogą zostać cofnięte lub zostać uznane za naruszenie reguł bezpieczeństwa.

W jakich sytuacjach warto umówić wizytę serwisową - PowerShell zablokowany przez politykę grupy

Zgłoszenie do serwisu jest uzasadnione, gdy blokada pojawiła się bez wyraźnej przyczyny, obejmuje również inne narzędzia systemowe, powraca po każdym restarcie albo uniemożliwia wykonanie potrzebnych czynności administracyjnych. Pomoc może być potrzebna także wtedy, gdy nie da się ustalić, czy źródłem problemu jest polityka grupy, uszkodzony profil, program ochronny czy nieprawidłowe uprawnienia. Szczególnej ostrożności wymaga sytuacja, w której razem z blokadą PowerShell występują samoczynne zmiany ustawień, nieznane procesy, problemy z logowaniem lub komunikaty o naruszeniu zabezpieczeń.

Przed przekazaniem urządzenia warto przygotować opis objawów, dokładny komunikat, informację o ostatnich aktualizacjach oraz dane dotyczące tego, czy komputer jest prywatny, czy zarządzany przez organizację. Takie informacje ułatwiają odtworzenie problemu i ograniczają ryzyko przypadkowego usunięcia prawidłowych reguł. Nie zaleca się również pobierania przypadkowych skryptów mających rzekomo odblokować PowerShell, ponieważ mogą one zmienić ustawienia zabezpieczeń bez wyjaśnienia zakresu ingerencji.

W Warszawie sprawdzeniem takiego problemu może zająć się Warszawskie Pogotowie Komputerowe 24/7, przy czym w przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA. W ramach analizy można ustalić, która reguła odrzuca uruchomienie, czy ograniczenie dotyczy jednego użytkownika oraz czy przywrócenie działania nie naruszy innych ustawień systemu. Po rozpoznaniu przyczyny możliwe jest dobranie rozwiązania do sposobu korzystania z komputera: od korekty błędnej konfiguracji lokalnej po pozostawienie blokady, jeśli wynika ona z uzasadnionych wymagań bezpieczeństwa.

Jeżeli PowerShell jest potrzebny do pracy, obsługi urządzeń lub wykonania legalnego skryptu, nie powinno się omijać blokady bez wcześniejszego ustalenia jej źródła. Prawidłowa naprawa polega na przywróceniu właściwej konfiguracji, zachowaniu kontroli nad uprawnieniami i sprawdzeniu, czy po ponownym uruchomieniu systemu zasada nie zostaje automatycznie zastosowana ponownie.