PowerShell Remoting. Jerzy Mikołajczak

Transkrypt

1 PowerShell Remoting Jerzy Mikołajczak Poznań, MIC Summer School 1

2 Agenda PowerShell(słowem wstępu) Czym zatem jest Remoting? Wymagania Konfiguracja Remoting sposoby wykorzystania Demo! Bezpieczeństwo Demo! 2

3 PowerShell(słowem wstępu) PowerShell jest Rozbudowaną konsolą tekstową zawierającą cmdletów. Np.: ConvertTo-{Csv, Html, Xml}, Format-{List, Table}, Get-{Content, Process, Unique} Restart-{Computer, Service}, Start-{Job, Service, Sleep}, Set-{Service, Date, Alias, Acl}, New-{Item, Event, Module}, etc. Dwa moje ulubione: Get-Help cmdlet(alias man) Out-Null 3

4 PowerShell(słowem wstępu) Językiem skryptowym 4

5 PowerShell(słowem wstępu) Zbudowany na podstawie Możliwość wykorzystania platformy.net bezpośrednio w kodzie PowerShell 5

6 PowerShell(słowem wstępu) Narzędzie administracji i automatyzacji Automatyzacja ważniejszych zdarzeń w codziennej pracy IT Wielokrotne czynności (+XX powtórzeń) Deployment Migracje 6

7 PowerShell(słowem wstępu) Nieodłączna część serwerowych produktów Microsoft Active Directory SharePoint 2010 Exchange 2007/2010 SQL 2005/2008/2008R2/2011(codename codename: Denali) System Center (DPM, SCVMM ) Lync 2010 Wsparcie od firm zewnętrznych Citrix XenApp 6 VMware ESXi, vcenter, vsphere(apis APIs) NetAppData ONTAP PowerShell Toolkit 7

8 PowerShell(słowem wstępu) Zarządzanie Chmurą Outlook Live (Exchange Labs) Office365 BPOS (Business Productivity Online Suite) Azure Cloud 8

9 Czym zatem jest Remoting? Konsola Język WinRM 2.0.NET WinRM 2.0 Platforma Microsoft do zarządzania serwerami pod kątem oprogramowania i sprzętu 9

10 Czym zatem jest Remoting? Klient Serwer PowerShell 2.0 PowerShell 2.0 WinRM 2.0 OS WinRM 2.0 OS 10

11 Wymagania Oprogramowanie: Windows PowerShell 2.0.NET framework 2.0 SP1 lub późniejszy Windows Remote Management (WinRM WinRM) 2.0 System operacyjny: Windows indowsserver 2008 R2 Windows Server 2008 zservice Pack 2 Windows Server 2003 zservice Pack 2 Windows 7 Windows Vista z Service Pack 1, 2 Windows XP zservice Pack 3 Windows Embedded POSReady 2009 Windows Embedded for Point of Service

12 Konfiguracja serwera Konfiguracja serwera jest prosta Enable-PSRemoting Ten cmdlet: Uruchamia Set-WSManQuickConfig WSManQuickConfig, który: Startuje usługę WinRM Ustawia jej tryb startowy na Automatyczny Tworzy Listener(odbiornik ) nasłuchujący na wszystkichinterfejsach interfejsach sieciowych Dodaje regułę otwierającą Firewall dla protokołu WS-Management Pozwala (nadaje uprawnienia) na odbieranie poleceń z zdalnej maszyny we wszystkich zarejestrowanych konfiguracjach sesji PSR Restartuje usługę WinRM Windows XP/2003 wymaga dodatkowej uwagi : Set-ItemProperty Path HKLM:\System\CurrentControlSet\Control\Lsa Name ForceGuest Value 0 12

13 Konfiguracja klienta W przypadku systemów Windows XP/Vista/7 Start-Service WinRM Set-Service WinRM -StartupType Automatic W przypadku środowiska Workgroupdodatkowo (KB951016: UAC Remote Restrictions): Oraz: Set-ItemProperty Path HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System Name LocalAccountTokenFilterPolicy Value 1 Type Dword Set-Item WSMan:\localhost\Client\TrustedHosts -Value *.mic.local Set-Item WSMan:\localhost\Client\TrustedHosts -Value hvm-1 Set-Item WSMan:\localhost\Client\TrustedHosts -Value * 13

14 Remoting-sposoby wykorzystania (1/4) cmdletyz parametrem ComputerName ComputerName (35) Get-Command -CommandType cmdlet where { $_.parameters.keys -contains "ComputerName"} Clear-EventLog, Enter-PSSession, Get-Counter, Get-EventLog, Get- HotFix, Get-Process, Get-PSSession, Get-Service, Get-WinEvent, Invoke-Command, Invoke-WmiMethod, Invoke-WSManAction, Limit-EventLog, New-EventLog, New-PSSession, New-WSManInstance, Receive-Job, Register-WmiEvent, Remove-EventLog, Remove-PSSession, Restart- Computer, Set-Service, Set-WmiInstance, Set-WSManInstance, Show- EventLog, Stop-Computer, Test-Connection, Test-WSMan, Write-EventLog.. oraz te z dodatkowym parametrem Credential Credential (20) Get-Command -CommandType cmdlet where { $_.parameters.keys -contains "ComputerName" -and $_.parameters.keys -contains "Credential"} 14

15 Remoting-sposoby wykorzystania (2/4) Korzystając z cmdletu Invoke-Command Command(alias: icm) icm comp1,comp2 {Get-HotFix} Invoke-Command $session ScriptBlock {get-something; do-something} icm comp1,comp2 FilePath C:\psnc\script.ps1 icm (Get-Content c:\psnc\servers.txt) -FilePath C:\psnc\script.ps1 15

16 Remoting-sposoby wykorzystania (3/4) Interactive Remoting Enter-PSSession ComputerName comp1 [comp1]: PS C:\ Enter-PSSession ComputerName comp2 Credential $cred [comp2]: PS C:\ Enter-PSSession ComputerName comp3 Credential (Get-Credential) [comp3]: PS C:\ 16

17 Remoting-sposoby wykorzystania (4/4) Implicit Remoting $session = New-PSSession ComputerName dc.test.local Import-PSSession $session Module ActiveDirectory,MyModule 17

18 Demo PS C:\ 18

19 Bezpieczeństwo Uwierzytelnianie i szyfrowanie: Cały ruch via WinRM jest szyfrowany (można to wyłączyć) SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism)zwany także Negotiate-> Kerberos/NTLM Możliwość wykorzystania SSL (-UseSSL UseSSL) Wymaga konfiguracji WinRM pod kątem certyfikatu: winrm create W przypadku certyfikatów Self-Signed Signedmusimy dodać SkipCACheck SkipCACheckprzy przy tworzeniu sesji (da się to ustawić globalnie) Standardowe porty: (SSL) 19

20 Bezpieczeństwo konfiguracja sesji Zdalne sesje: out-of of-the the-box box tylko dla administratorów możliwość stworzenia konfiguracji sesji dla zwykłego użytkownika Użytkownik nie może otworzyć zdalnej sesji w konfiguracji innej niż mu przypisana przez Administratora Lista dostępnych cmdletów Lista zabronionych cmdletów Blokada aplikacji oraz skryptów cmdletydo do zarządzania konfiguracjami sesji Get-Command *-PSSessionConfiguration Select Name Name ---- Disable-PSSessionConfiguration Enable-PSSessionConfiguration Get-PSSessionConfiguration Register-PSSessionConfiguration Set-PSSessionConfiguration Unregister-PSSessionConfiguration 20

21 Bezpieczeństwo konfiguracja sesji PS C:\psnc> Get-PSSessionConfiguration -Name Denied fl Name : Denied Filename : %windir%\system32\pwrshplugin.dll SDKVersion : 1 XmlRenderingType : text lang : en-us PSVersion : 2.0 startupscript : C:\psnc\Denied.ps1 ResourceUri : SupportsOptions : true Capability : {Shell} xmlns : Uri : ExactMatch : false SecurityDescriptorSddl : O:NSG:BAD:P(A;;GA;;;BA)(A;;GX;;;S ) Permission : BUILTIN\Administrators AccessAllowed, TEST\jerzym AccessAllowed 21

22 Demo PS C:\ 22

23 PS C:\Write-Host Dziękuję za uwagę! PS C:\Read-Host Pytania? Kontakt: 23