PowerShell-Sessions von domänenfremden PCs

Seit längerer Zeit ist das Importieren von PowerShell-Sessions von PCs gängige Praxis. Um nicht direkt auf den Exchange-Server zu müssen, kann man beispielsweise den Berechtigungen entsprechend einfach die Session importieren. Es lassen sich schließlich dieselben Befehle ausführen wie auch auf dem Server selbst.

Was aber, wenn man auf einen Rechner zugreifen muss, der nicht in derselben Domäne steht? Es gibt hierbei ein paar Hürden zu überwinden. Wie das funktioniert, möchte ich in diesem Artikel kurz aufzeigen.

Trust einrichten

Zwei PCs in der derselben Domäne vertrauen sich untereinander, da sie schließlich aus derselben Domäne stammen. Somit wissen sie, wer der jeweils andere ist. Genauso funktioniert es zwischen zwei Rechnern in zwei verschiedenen Domänen, während zwischen letzteren allerdings ein Trust eingerichtet wurde. Ist das nicht der Fall, vertrauen sich die beiden Rechner auch nicht. Das heißt, im ersten Schritt muss man ein Trust zwischen ihnen herstellen.

Um die Erklärung ein wenig zu vereinfachen, nennen wir den Rechner, auf dem die PowerShell bzw. das Skript ausgeführt werden soll, Rechner A. Und die PowerShell-Session wird von Rechner B importiert. Damit ein Trust zwischen den beiden Rechnern entsteht, müssen wir Rechner B in die Liste der Trusted Hosts von Rechner A aufnehmen.

Wenn Sie ein Skript ohne Nutzerinteraktion ausführen, das die importierte Session benötigt, müssen Sie diesen Schritt – die Einrichtung des Trusts – auf jeden Fall vorher ausführen und nicht als Bestandteil des Skripts. Denn hier wird eine Nutzerinteraktion von Ihnen benötigt, die Sie aus Sicherheitsgründen nicht automatisieren können.
→ mehr zu: PowerShell Skripte mit Nutzerinteraktion

Zunächst müssen Sie wissen, wie Sie Rechner B erreichen können. Ist er dem DNS-Server bekannt, so reicht natürlich der Name. Falls nicht, dann brauchen Sie die IP-Adresse. Im Zweifelsfall können Sie auch beide bereithalten und der TrustedHosts-Liste hinzufügen. Öffnen Sie dazu Ihre PowerShell mit Administrator-Berechtigungen und geben Sie folgenden Befehl ein:

Wenn entweder nur die IP-Adresse oder den Namen haben, dann tragen Sie im Value-Parameter nur entsprechend den Wert ohne Komma ein. Danach sollte PowerShell sie nach einer Bestätigung fragen, die sie mit J beantworten müssen.

Anschließend können Sie mit dem Befehl

herausfinden, welche Einträge sich in Ihrer TrustedHosts-Liste befinden. Wenn Sie einen neuen Eintrag hinzufügen möchten, ohne die alten zu überschreiben, können Sie das dann mit folgenden Befehl tun:

PS-Remoting eingeschaltet?

Dies gilt zwar auch für Rechner in derselben Domäne, sollte aber auch hier überprüft werden.  Auf Rechner B muss das PS-Remoting eingeschaltet sein, damit man von einem Remote-Rechner – also Rechner A – eine PS-Session importieren kann.

Öffnen Sie dazu eine PowerShell mit Administrator-Rechten auf Rechner B und geben Sie den Befehl

ein und bestätigen Sie anschließend mit Enter.

Zugangsdaten übergeben

Wenn Rechner A und B in derselben Domäne sind, reicht es aus, wenn die PowerShell bzw. das Skript mit einem Account ausgeführt werden, der in der Domäne PowerShell ausführen darf. Da das in unserem Beispiel so nicht der Fall ist, muss dem New-PSSession CmdLet zudem ein Credential übergeben werden. Dieses muss erstellt werden, bevor es übergeben werden kann.

Credential abfragen

Führen Sie die PowerShell-Befehle direkt in der Konsole aus, ist das kein Problem. Mit einem einfachen

erzeugen Sie eine Nutzerabfrage, in die Sie die entsprechenden Zugangsdaten eingeben. Das damit erzeugte Credential wird dann in der Variablen gespeichert.

Führen Sie den Befehl aber in einem nicht-interaktiven Skript aus, so bleibt das Skript an dieser Stelle natürlich hängen. Wir müssen also das Credential irgendwie automatisiert erzeugen. Die Hürde dabei ist, dass das Passwort als Secure-String benötigt wird. Den könnten Sie einfach aus einem normalen String direkt im Quelltext erzeugen. Das heißt allerdings, dass sie das Passwort im Klartext im Skript-Code hinterlegen müssten. Da dies natürlich ein enormes Sicherheitsrisiko darstellt, sollte dies vermieden werden.

Credential automatisiert erzeugen

Stattdessen können wir das Passwort relativ gut verschlüsselt hinterlegen und nach Bedarf wieder einlesen. So konvertieren Sie einen String in einen Secure-String und speichern ihn anschließend verschlüsselt in einer Datei ab:

Achtung: Zwar wird das Passwort verschlüsselt abgespeichert, d.h. jemand der die Datei öffnet, kann das Passwort nicht lesen. Allerdings kann jeder mit Zugriff auf die Datei sie in sein eigenes PS-Skript einlesen und verwenden. Seien Sie sich dieses Risikos bewusst und lassen Sie die Datei niemals auf ungesicherten Rechnern liegen!

Jetzt müssen wir das Passwort wieder einlesen und können daraus dann unser Credential erzeugen. Das sieht folgendermaßen aus:

Die Session importieren

Nun schließlich zum letzten Schritt, um PowerShell-Sessions von domänenfremden PCs  zu importieren. Denn jetzt haben wir alles, was wir für die PS-Session von Rechner B brauchen. Mit diesem Befehl eröffnen wir eine neue Session:

Jetzt können wir die gesamte Session mit einem einfachen

importieren. Oder, wenn Sie etwas Ressourcenschonenderes mögen, dann können Sie trotzdem auch einzelne CmdLets in der Session von Rechner B mit Invoke-Command ausführen. So können Sie beispielsweise einen Windows-Service auf Rechner B stoppen:

Abschließend, wenn Sie alle gewünschten Aktionen durchgeführt haben, sollten Sie die Session auch explizit wieder entfernen:

PowerShell-Sessions von domänenfremden PCs-Komplettes Skript

Zum Schluss noch einmal alle Befehle im Überblick:

Vorbereitung:

Wenn Sie ein nicht-interaktives Skript ausführen wollen:

Die Remote-Session eröffnen und nutzen:

Damit können wir das Thema PowerShell-Sessions von domänenfremden PCs als abgeschlossen betrachten. Sollten Sie anschließend noch weiterführende Informationen benötigen, kontaktieren Sie uns. 

---