JEA 先决条件

Just Enough Administration 是 PowerShell 5.0 及更高版本中包含的一项功能。本文介绍了开始使用 JEA 必须满足的先决条件。

检查安装了哪个版本的 PowerShell

要检查系统上安装的 PowerShell 版本，请检查 Windows PowerShell 提示符中的 $PSVersionTable 变量。

$PSVersionTable.PSVersion

Major  Minor  Build  Revision
-----  -----  -----  --------
5      1      14393  1000

JEA 可用于 PowerShell 5.0 及更高版本。为了获得完整功能，建议您安装适用于您的系统的最新版本的 PowerShell。下表描述了 JEA 在 Windows Server 上的可用性：

预装

WMF 5.1 的完整功能

WMF 5.1 的完整功能

WMF 5.1 的功能减少1

您还可以在家庭或工作计算机上使用 JEA：

预装

预安装，功能减少2

无法使用

WMF 5.1 的完整功能

WMF 5.1 的功能减少1

• 1 JEA 无法配置为在 Windows Server 2008 R2 或 Windows 7 上使用组管理服务帐户。支持虚拟帐户和其他 JEA 功能。。

• 2 Windows 10 版本 1511 和 1603 不支持以下 JEA 功能：

  • 作为组管理的服务帐户运行
• 会话配置中的条件访问规则
• 用户驱动器
• 授予对本地用户帐户的访问权限

要获得对这些功能的支持，请将 Windows 更新到版本 1607（周年更新）或更高版本。

安装Windows管理框架

如果您运行的是旧版本的 PowerShell，您可能需要使用最新的 Windows Management Framework (WMF) 更新来更新您的系统。有关详细信息，请参阅 WMF 文档。

建议您在升级所有服务器之前测试工作负载与 WMF 的兼容性。

Windows 10 用户应安装最新的功能更新以获得当前版本的 Windows PowerShell。

启用 PowerShell 远程处理

PowerShell Remoting 为构建 JEA 奠定了基础。在使用 JEA 之前，必须确保 PowerShell Remoting 已启用并正确保护。有关详细信息，请参阅 WinRM 安全性。

默认情况下，Windows Server 2012 及更高版本上启用 PowerShell 远程处理。您可以通过在提升的 PowerShell 窗口中运行以下命令来启用 PowerShell 远程处理。

Enable-PSRemoting

启用 PowerShell 模块和脚本块日志记录（可选）

以下步骤为系统上的所有 PowerShell 操作启用日志记录。 JEA 不需要 PowerShell 模块日志记录，但建议您打开日志记录以确保用户运行的命令记录在中央位置。

您可以使用组策略配置 PowerShell 模块日志记录策略。

1. 打开工作站上的本地组策略编辑器或 Active Directory 域控制器上的组策略管理控制台中的组策略对象
2. 导航到计算机配置\管理模板\Windows 组件\Windows PowerShell
3. 双击打开模块日志记录
4. 点击启用
5. 在“选项”部分中，单击“模块名称”旁边的显示
6. 在弹出窗口中键入 * 以记录来自所有模块的命令。
7. 单击确定设置策略
8. 双击打开 PowerShell 脚本块日志记录
9. 点击启用
10. 单击确定设置策略
11. （仅限加入域的计算机）运行 gpupdate 或等待组策略处理更新的策略并应用设置

您还可以通过组策略启用系统范围的 PowerShell 转录。

后续步骤

• 创建角色能力文件
• 创建会话配置文件

参见

• WinRM安全
• PowerShell ♥ 蓝队