Compartir a través de

Set-ExecutionPolicy

  • Referencia
Módulo:
Microsoft.PowerShell.Security

Establece las directivas de ejecución de PowerShell para equipos Windows.

Sintaxis

Set-ExecutionPolicy
   [-ExecutionPolicy] <ExecutionPolicy>
   [[-Scope] <ExecutionPolicyScope>]
   [-Force]
   [-WhatIf]
   [-Confirm]
   [<CommonParameters>]

Description

El cmdlet Set-ExecutionPolicy cambia las directivas de ejecución de PowerShell para equipos Windows. Para obtener más información, vea about_Execution_Policies.

A partir de PowerShell 6.0 para equipos que no son Windows, la directiva de ejecución predeterminada es Unrestricted y no se puede cambiar. El cmdlet Set-ExecutionPolicy está disponible, pero PowerShell muestra un mensaje de consola que no se admite.

Una directiva de ejecución forma parte de la estrategia de seguridad de PowerShell. Las directivas de ejecución determinan si puede cargar archivos de configuración, como el perfil de PowerShell o ejecutar scripts. Además, si los scripts deben estar firmados digitalmente antes de que se ejecuten.

El ámbito predeterminado del cmdlet Set-ExecutionPolicy es LocalMachine, lo que afecta a todos los usuarios que usan el equipo. Para cambiar la directiva de ejecución de LocalMachine, inicie PowerShell con Ejecutar como administrador.

Para mostrar las directivas de ejecución para cada ámbito, use Get-ExecutionPolicy -List. Para ver la directiva de ejecución efectiva de la sesión de PowerShell, use Get-ExecutionPolicy sin parámetros.

Ejemplos

Ejemplo 1: Establecimiento de una directiva de ejecución

En este ejemplo se muestra cómo establecer la directiva de ejecución para el equipo local.

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope LocalMachine
Get-ExecutionPolicy -List

Scope ExecutionPolicy
        ----- ---------------
MachinePolicy       Undefined
   UserPolicy       Undefined
      Process       Undefined
  CurrentUser    RemoteSigned
 LocalMachine    RemoteSigned

El cmdlet Set-ExecutionPolicy usa el parámetro executionPolicy para especificar la directiva de RemoteSigned. El parámetro Scope especifica el valor de ámbito predeterminado, LocalMachine. Para ver la configuración de la directiva de ejecución, use el cmdlet Get-ExecutionPolicy con el parámetro List de.

Ejemplo 2: Establecimiento de una directiva de ejecución que entra en conflicto con una directiva de grupo

Este comando intenta establecer la directiva de ejecución del ámbito de LocalMachine en Restricted. LocalMachine es más restrictivo, pero no es la directiva efectiva porque entra en conflicto con una directiva de grupo. La directiva de Restricted se escribe en el subárbol del Registro HKEY_LOCAL_MACHINE.

PS> Set-ExecutionPolicy -ExecutionPolicy Restricted -Scope LocalMachine

Set-ExecutionPolicy : PowerShell updated your local preference successfully, but the setting is
overridden by the Group Policy applied to your system. Due to the override, your shell will retain
its current effective execution policy of "AllSigned". Contact your Group Policy administrator for
more information. At line:1 char:20 + Set-ExecutionPolicy <<<< restricted

PS> Get-ChildItem -Path HKLM:\SOFTWARE\Microsoft\PowerShell\1\ShellIds

    Hive: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PowerShell\1\ShellIds

Name                    Property
----                    --------
Microsoft.PowerShell    Path            : C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
                        ExecutionPolicy : Restricted
ScriptedDiagnostics     ExecutionPolicy : Unrestricted

El cmdlet Set-ExecutionPolicy usa el parámetro executionPolicy para especificar la directiva de Restricted. El parámetro Scope especifica el valor de ámbito predeterminado, LocalMachine. El cmdlet Get-ChildItem usa el parámetro Path de con la unidad de HKLM: para especificar la ubicación del Registro.

Ejemplo 3: Aplicación de la directiva de ejecución desde un equipo remoto a un equipo local

Este comando obtiene el objeto de directiva de ejecución de un equipo remoto y establece la directiva en el equipo local. Get-ExecutionPolicy envía un objeto Microsoft.PowerShell.ExecutionPolicy a la canalización. Set-ExecutionPolicy acepta la entrada de canalización y no requiere el parámetro ExecutionPolicy.

Invoke-Command -ComputerName Server01 -ScriptBlock { Get-ExecutionPolicy } | Set-ExecutionPolicy

El cmdlet Invoke-Command se ejecuta en el equipo local y envía el ScriptBlock al equipo remoto. El parámetro computerName especifica el equipo remoto, Server01. El parámetro ScriptBlock ejecuta Get-ExecutionPolicy en el equipo remoto. El objeto Get-ExecutionPolicy se envía a la canalización al Set-ExecutionPolicy. Set-ExecutionPolicy aplica la directiva de ejecución al ámbito predeterminado del equipo local, LocalMachine.

Ejemplo 4: Establecimiento del ámbito de una directiva de ejecución

En este ejemplo se muestra cómo establecer una directiva de ejecución para un ámbito especificado, CurrentUser. El ámbito de CurrentUser solo afecta al usuario que establece este ámbito.

Set-ExecutionPolicy -ExecutionPolicy AllSigned -Scope CurrentUser
Get-ExecutionPolicy -List

Scope ExecutionPolicy
        ----- ---------------
MachinePolicy       Undefined
   UserPolicy       Undefined
      Process       Undefined
  CurrentUser       AllSigned
 LocalMachine    RemoteSigned

Set-ExecutionPolicy usa el parámetro executionPolicy para especificar la directiva de AllSigned. El parámetro scope de especifica el CurrentUser. Para ver la configuración de la directiva de ejecución, use el cmdlet Get-ExecutionPolicy con el parámetro List de.

La directiva de ejecución efectiva para el usuario se convierte en AllSigned.

Ejemplo 5: Quitar la directiva de ejecución para el usuario actual

En este ejemplo se muestra cómo usar la directiva de ejecución de Undefined para quitar una directiva de ejecución para un ámbito especificado.

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope CurrentUser
Get-ExecutionPolicy -List

Scope ExecutionPolicy
        ----- ---------------
MachinePolicy       Undefined
   UserPolicy       Undefined
      Process       Undefined
  CurrentUser       Undefined
 LocalMachine    RemoteSigned

Set-ExecutionPolicy usa el parámetro executionPolicy para especificar la directiva de Undefined. El parámetro scope de especifica el CurrentUser. Para ver la configuración de la directiva de ejecución, use el cmdlet Get-ExecutionPolicy con el parámetro List de.

Ejemplo 6: Establecimiento de la directiva de ejecución para la sesión actual de PowerShell

El ámbito de Process solo afecta a la sesión actual de PowerShell. La directiva de ejecución se guarda en la variable de entorno $Env:PSExecutionPolicyPreference y se elimina cuando se cierra la sesión.

Set-ExecutionPolicy -ExecutionPolicy AllSigned -Scope Process

Scope ExecutionPolicy
        ----- ---------------
MachinePolicy       Undefined
   UserPolicy       Undefined
      Process       AllSigned
  CurrentUser    RemoteSigned
 LocalMachine    RemoteSigned

El Set-ExecutionPolicy usa el parámetro executionPolicy para especificar la directiva de AllSigned. El parámetro scope de especifica el valor Process. Para ver la configuración de la directiva de ejecución, use el cmdlet Get-ExecutionPolicy con el parámetro List de.

Ejemplo 7: Desbloquear un script para ejecutarlo sin cambiar la directiva de ejecución

En este ejemplo se muestra cómo la directiva de ejecución de RemoteSigned impide ejecutar scripts sin firmar.

Un procedimiento recomendado es leer el código del script y comprobar que es seguro antes de mediante el cmdlet Unblock-File. El cmdlet Unblock-File desbloquea los scripts para que se puedan ejecutar, pero no cambia la directiva de ejecución.

PS> Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope LocalMachine

PS> Get-ExecutionPolicy

RemoteSigned

PS> .\Start-ActivityTracker.ps1

.\Start-ActivityTracker.ps1 : File .\Start-ActivityTracker.ps1 cannot be loaded.
The file .\Start-ActivityTracker.ps1 is not digitally signed.
The script will not execute on the system.
For more information, see about_Execution_Policies at https://go.microsoft.com/fwlink/?LinkID=135170.
At line:1 char:1
+ .\Start-ActivityTracker.ps1
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo          : NotSpecified: (:) [], PSSecurityException
+ FullyQualifiedErrorId : UnauthorizedAccess

PS> Unblock-File -Path .\Start-ActivityTracker.ps1

PS> Get-ExecutionPolicy

RemoteSigned

PS> .\Start-ActivityTracker.ps1

Task 1:

El Set-ExecutionPolicy usa el parámetro executionPolicy para especificar la directiva de RemoteSigned. La directiva se establece para el ámbito predeterminado, LocalMachine.

El cmdlet Get-ExecutionPolicy muestra que RemoteSigned es la directiva de ejecución efectiva para la sesión actual de PowerShell.

El Start-ActivityTracker.ps1 script is executed from the current directory. The script is blocked by RemoteSigned porque el script no está firmado digitalmente.

En este ejemplo, el código del script se revisó y comprobó como seguro para ejecutarse. El cmdlet Unblock-File usa el parámetro Path para desbloquear el script.

Para comprobar que Unblock-File no cambió la directiva de ejecución, Get-ExecutionPolicy muestra la directiva de ejecución efectiva, RemoteSigned.

El script, Start-ActivityTracker.ps1 se ejecuta desde el directorio actual. El script comienza a ejecutarse porque el cmdlet Unblock-File desbloqueó.

Parámetros

-Confirm

Le pide confirmación antes de ejecutar el cmdlet.

Tipo:SwitchParameter
Alias:cf
Posición:Named
Valor predeterminado:False
Requerido:False
Aceptar entrada de canalización:False
Aceptar caracteres comodín:False

-ExecutionPolicy

Especifica la directiva de ejecución. Si no hay ninguna directiva de grupo y la directiva de ejecución de cada ámbito se establece en Undefined, Restricted se convierte en la directiva efectiva para todos los usuarios.

Los valores de directiva de ejecución aceptables son los siguientes:

  • AllSigned. Requiere que todos los scripts y archivos de configuración estén firmados por un editor de confianza, incluidos los scripts escritos en el equipo local.
  • Bypass. No se bloquea nada y no hay advertencias ni avisos.
  • Default. Establece la directiva de ejecución predeterminada. Restricted para clientes windows o RemoteSigned para servidores Windows.
  • RemoteSigned. Requiere que todos los scripts y archivos de configuración descargados de Internet estén firmados por un publicador de confianza. Directiva de ejecución predeterminada para equipos con Windows Server.
  • Restricted. No carga archivos de configuración ni ejecuta scripts. Directiva de ejecución predeterminada para equipos cliente windows.
  • Undefined. No se establece ninguna directiva de ejecución para el ámbito. Quita una directiva de ejecución asignada de un ámbito que no está establecido por una directiva de grupo. Si la directiva de ejecución de todos los ámbitos es Undefined, la directiva de ejecución efectiva se Restricted.
  • Unrestricted. A partir de PowerShell 6.0, esta es la directiva de ejecución predeterminada para equipos que no son Windows y no se puede cambiar. Carga todos los archivos de configuración y ejecuta todos los scripts. Si ejecuta un script sin firmar que se descargó de Internet, se le pedirá permiso antes de que se ejecute.
Tipo:ExecutionPolicy
Valores aceptados:AllSigned, Bypass, Default, RemoteSigned, Restricted, Undefined, Unrestricted
Posición:0
Valor predeterminado:None
Requerido:True
Aceptar entrada de canalización:True
Aceptar caracteres comodín:False

-Force

Suprime todas las solicitudes de confirmación. Tenga cuidado con este parámetro para evitar resultados inesperados.

Tipo:SwitchParameter
Posición:Named
Valor predeterminado:False
Requerido:False
Aceptar entrada de canalización:False
Aceptar caracteres comodín:False

-Scope

Especifica el ámbito afectado por una directiva de ejecución. El ámbito predeterminado es LocalMachine.

La directiva de ejecución efectiva viene determinada por el orden de prioridad de la siguiente manera:

  • MachinePolicy: establecer por una directiva de grupo para todos los usuarios del equipo
  • UserPolicy: se establece mediante una directiva de grupo para el usuario actual del equipo.
  • Process: afecta solo a la sesión actual de PowerShell.
  • LocalMachine: ámbito predeterminado que afecta a todos los usuarios del equipo
  • CurrentUser: afecta solo al usuario actual.

El ámbito de Process solo afecta a la sesión actual de PowerShell. La directiva de ejecución se guarda en la variable de entorno $Env:PSExecutionPolicyPreference, en lugar del Registro. Cuando se cierra la sesión de PowerShell, se eliminan la variable y el valor.

Las directivas de ejecución del ámbito de CurrentUser se escriben en el subárbol del Registro HKEY_LOCAL_USER.

Las directivas de ejecución del ámbito de LocalMachine se escriben en el subárbol del Registro HKEY_LOCAL_MACHINE.

Tipo:ExecutionPolicyScope
Valores aceptados:CurrentUser, LocalMachine, MachinePolicy, Process, UserPolicy
Posición:1
Valor predeterminado:LocalMachine
Requerido:False
Aceptar entrada de canalización:True
Aceptar caracteres comodín:False

-WhatIf

Muestra lo que sucedería si el cmdlet se ejecuta. El cmdlet no se ejecuta.

Tipo:SwitchParameter
Alias:wi
Posición:Named
Valor predeterminado:False
Requerido:False
Aceptar entrada de canalización:False
Aceptar caracteres comodín:False

Entradas

ExecutionPolicy

Puede canalizar un objeto de directiva de ejecución a este cmdlet.

String

Puede canalizar una cadena que contenga el nombre de una directiva de ejecución a este cmdlet.

Salidas

None

Este cmdlet no devuelve ninguna salida.

Notas

Set-ExecutionPolicy no cambia los ámbitos de MachinePolicy y UserPolicy porque se establecen mediante directivas de grupo.

Set-ExecutionPolicy no invalida una directiva de grupo, aunque la preferencia del usuario sea más restrictiva que la directiva.

Si la directiva de grupo Activar la ejecución de scripts está habilitada para el equipo o el usuario, se guarda la preferencia de usuario, pero no es efectiva. PowerShell muestra un mensaje que explica el conflicto.