実行ポリシーについて

簡単な説明

PowerShell 実行ポリシーについて説明し、それらを管理する方法について説明します。

長い説明

PowerShell の実行ポリシーは、PowerShell が構成ファイルを読み込んでスクリプトを実行する条件を制御する安全機能です。 この機能は、悪意のあるスクリプトの実行を防ぐのに役立ちます。

Windows コンピューターでは、ローカル コンピューター、現在のユーザー、または特定のセッションの実行ポリシーを設定できます。 グループ ポリシー設定を使用して、コンピューターとユーザーの実行ポリシーを設定することもできます。

ローカル コンピューターと現在のユーザーの実行ポリシーは、PowerShell 構成ファイルに格納されます。 PowerShell プロファイルで実行ポリシーを設定する必要はありません。 特定のセッションの実行ポリシーはメモリにのみ格納され、セッションが閉じられると失われます。

実行ポリシーはセキュリティ境界ではなく、多層防御です。 たとえば、ユーザーは、スクリプトを実行できないときにコマンド ラインでスクリプトの内容を入力することで、ポリシーを簡単にバイパスできます。 代わりに、実行ポリシーはユーザーが基本ルールを設定するのに役立ち、意図せずに違反するのを防ぎます。

セキュリティ境界の詳細については、PowerShell セキュリティ機能のセキュリティ サービス条件に関するセクションを参照してください。

Windows以外のコンピューターでは、既定の実行ポリシーはUnrestrictedされ、変更できません。 Set-ExecutionPolicy コマンドレットを使用できますが、PowerShell ではサポートされていないことを示すコンソール メッセージが表示されます。 Get-ExecutionPolicyはWindows以外のプラットフォームでUnrestrictedを返しますが、これらのプラットフォームでは Windows セキュリティ Zones が実装されていないため、実際にはBypassと一致します。

PowerShell 実行ポリシー

これらのポリシーの適用は、Windows プラットフォームでのみ行われます。 PowerShell 実行ポリシーは次のとおりです。

• AllSigned

  • スクリプトを実行できます。
  • ローカル コンピューターで記述するスクリプトを含め、すべてのスクリプトと構成ファイルが信頼できる発行元によって署名されている必要があります。
  • 分類されていない発行元のスクリプトを実行する前に、信頼済みか信頼されていないかを確認するよう促します。
  • 署名されたが悪意のあるスクリプトを実行するリスク。

• Bypass

  • 何もブロックされておらず、警告やプロンプトはありません。
  • この実行ポリシーは、PowerShell スクリプトを大規模なアプリケーションに組み込む構成、または PowerShell が独自のセキュリティ モデルを持つプログラムの基盤となる構成用に設計されています。

• Default

  • 既定の実行ポリシーを設定します。
  • Windows クライアントとサーバーの RemoteSigned を します。

• RemoteSigned

  • Windows コンピューターの既定の実行ポリシー。
  • スクリプトを実行できます。
  • 電子メールやインスタント メッセージング プログラムを含むインターネットからダウンロードされるスクリプトと構成ファイルに、信頼できる発行元からのデジタル署名が必要です。
  • ローカル コンピューターに書き込まれ、インターネットからダウンロードされないスクリプトにデジタル署名は必要ありません。
  • Unblock-File コマンドレットを使用するなどして、スクリプトのブロックが解除されている場合は、インターネットからダウンロードされ、署名されていないスクリプトを実行します。
  • インターネット以外のソースから署名されていないスクリプトを実行し、悪意のある可能性がある署名付きスクリプトを実行するリスク。

• Restricted

  • 個々のコマンドを許可しますが、スクリプトは許可しません。
  • 書式設定ファイルと構成ファイル (.ps1xml)、モジュール スクリプト ファイル (.psm1)、PowerShell プロファイル (.ps1) など、すべてのスクリプト ファイルの実行を禁止します。

• Undefined

  • 現在のスコープに実行ポリシーが設定されていません。
  • すべてのスコープでの実行ポリシーが の場合、有効な実行ポリシーは Windows クライアントでは であり、Windows Server では RemoteSigned となります。

• Unrestricted

  • Windows以外のコンピューターの既定の実行ポリシー。変更することはできません。
  • 署名されていないスクリプトを実行できます。 悪意のあるスクリプトを実行するリスクがあります。
  • ローカル イントラネット ゾーン以外のスクリプトと構成ファイルを実行する前に、ユーザーに警告します。

  手記

  汎用名前付け規則 (UNC) パスとインターネット パスを区別しないシステムでは、UNC パスによって識別されるスクリプトは 、RemoteSigned 実行ポリシーを使用して実行できない可能性があります。

実行ポリシーのスコープと優先順位

特定のスコープでのみ有効な実行ポリシーを設定できます。 このパラメーターは、次の値を受け入れます。

• MachinePolicy - コンピューターのすべてのユーザーのグループ ポリシーによって設定される
• UserPolicy - コンピューターの現在のユーザーのグループ ポリシーによって設定される
• Process - 現在の PowerShell セッションにのみ影響します
• CurrentUser - 現在のユーザーにのみ影響します
• LocalMachine - コンピューターのすべてのユーザーに影響するスコープを Default する

実行ポリシーがグループ ポリシーによって定義されていない場合、有効な実行ポリシーは次のように優先順位によって決定されます。

• Process - 優先順位が最も高い。 Process スコープは、現在の PowerShell セッションにのみ影響します。 実行ポリシーは、レジストリではなく、環境変数 $Env:PSExecutionPolicyPreference に保存されます。 PowerShell セッションが閉じられると、変数と値が削除されます。
• CurrentUser - 2 番目に高い優先順位。 この設定は、ユーザー固有の powershell.config.json ファイルに格納されます。
• LocalMachine - 優先順位が最も低い。 この設定は、 $PSHOME/powershell.config.json ファイルに格納されます。

powershell.config.json ファイルの詳細については、「about_PowerShell_Config」を参照してください。

PowerShell を使用した実行ポリシーの管理

現在の PowerShell セッションの有効な実行ポリシーを取得するには、Get-ExecutionPolicy コマンドレットを使用します。

次のコマンドは、有効な実行ポリシーを取得します。

Get-ExecutionPolicy

現在のセッションに影響するすべての実行ポリシーを取得し、優先順位で表示するには:

Get-ExecutionPolicy -List

結果は次のサンプル出力のようになります。

        Scope ExecutionPolicy
        ----- ---------------
MachinePolicy       Undefined
   UserPolicy       Undefined
      Process       Undefined
  CurrentUser    RemoteSigned
 LocalMachine       AllSigned

この場合、現在のユーザーの実行ポリシーがローカル コンピューターの実行ポリシー セットよりも優先されるため、有効な実行ポリシーは RemoteSigned されます。

特定のスコープの実行ポリシー セットを取得するには、Scopeの Get-ExecutionPolicy パラメーターを使用します。

たとえば、次のコマンドは、CurrentUser スコープの実行ポリシーを取得します。

Get-ExecutionPolicy -Scope CurrentUser

実行ポリシーを変更する

Windows コンピューターで PowerShell 実行ポリシーを変更するには、Set-ExecutionPolicy コマンドレットを使用します。 変更はすぐに有効になります。 PowerShell を再起動する必要はありません。

LocalMachine または CurrentUserスコープの実行ポリシーを設定した場合、変更は構成ファイルに保存され、再度変更するまで有効なままです。

Process スコープの実行ポリシーを設定した場合、構成ファイルには保存されません。 実行ポリシーは、現在のプロセスと子プロセスが閉じられるまで保持されます。

実行ポリシーを変更するには:

Set-ExecutionPolicy -ExecutionPolicy <PolicyName>

例えば：

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned

特定のスコープで実行ポリシーを設定するには:

Set-ExecutionPolicy -ExecutionPolicy <PolicyName> -Scope <scope>

例えば：

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

実行ポリシーを変更するコマンドは成功しますが、有効な実行ポリシーは変更されません。

たとえば、ローカル コンピューターの実行ポリシーを設定するコマンドは成功しても、現在のユーザーの実行ポリシーによってオーバーライドできます。

実行ポリシーを削除する

特定のスコープの実行ポリシーを削除するには、実行ポリシーを Undefinedに設定します。

たとえば、ローカル コンピューターのすべてのユーザーの実行ポリシーを削除するには、次のようにします。

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope LocalMachine

Scopeの実行ポリシーを削除するには:

Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope CurrentUser

どのスコープにも実行ポリシーが設定されていない場合は、有効な実行ポリシーが Restrictedされます。これは Windows クライアントの既定値です。

1 つのセッションに別のポリシーを設定する

の pwsh.exe パラメーターを使用して、新しい PowerShell セッションの実行ポリシーを設定できます。 このポリシーは、現在のセッションと子セッションにのみ影響します。

新しいセッションの実行ポリシーを設定するには、cmd.exe や PowerShell などのコマンド ラインで PowerShell を起動し、 の pwsh.exe パラメーターを使用して実行ポリシーを設定します。

例えば：

pwsh.exe -ExecutionPolicy AllSigned

設定した実行ポリシーは、構成ファイルに格納されません。 代わりに、$Env:PSExecutionPolicyPreference 環境変数に格納されます。 この変数は、ポリシーが設定されているセッションを閉じると削除されます。 変数の値を編集してポリシーを変更することはできません。

セッション中は、セッションに設定されている実行ポリシーが、ローカル コンピューターまたは現在のユーザーの構成ファイルに設定されている実行ポリシーよりも優先されます。 ただし、グループ ポリシーを使用して設定された実行ポリシーよりも優先されません。

グループ ポリシーを使用して実行ポリシーを管理する

[スクリプトの実行を有効にする] グループ ポリシー設定を使って、企業内のコンピューターの実行ポリシーを管理できます。 グループ ポリシー設定は、すべてのスコープで PowerShell で設定された実行ポリシーをオーバーライドします。

スクリプト実行を有効にする ポリシー設定は次のとおりです。

• [スクリプトの実行を有効にする] を無効にすると、スクリプトは実行されません。 これは、Restricted 実行ポリシーと同じです。

• [スクリプトの実行を有効にする] を有効にすると、実行ポリシーを選択できます。 グループ ポリシー設定は、次の実行ポリシー設定と同じです。

  グループ ポリシー	実行ポリシー
  すべてのスクリプトを許可する	Unrestricted
  ローカル スクリプトとリモート署名付きスクリプトを許可する	リモート署名
  署名されたスクリプトのみを許可する	オールサインド

• [スクリプトの実行を有効にする] を構成しない場合、影響はありません。 PowerShell で設定された実行ポリシーが有効です。

PowerShellCoreExecutionPolicy.admファイルとPowerShellCoreExecutionPolicy.admx ファイルは、次のパスのグループ ポリシー エディターの [コンピューターの構成] ノードと [ユーザー構成] ノードにスクリプト実行ポリシーを有効にします。

Administrative Templates\Windows Components\Windows PowerShell

[コンピューターの構成] ノードで設定されたポリシーは、[ユーザー構成] ノードで設定されたポリシーよりも優先されます。

詳細については、about_Group_Policy_Settingsを参照してください。

署名されたスクリプトと署名されていないスクリプトを管理する

Windows では、Internet Explorer や Microsoft Edge などのプログラムは、ダウンロードされたファイルに代替データ ストリームを追加します。 これにより、ファイルは "インターネットから送信される" としてマークされます。 PowerShell 実行ポリシーが RemoteSignedされている場合、PowerShell は、電子メールやインスタント メッセージング プログラムを含む、インターネットからダウンロードされた署名されていないスクリプトを実行しません。

スクリプトに署名することも、実行ポリシーを変更せずに署名されていないスクリプトを実行することもできます。

PowerShell 3.0 以降では、 コマンドレットの Get-Item パラメーターを使用して、インターネットからダウンロードされたためにブロックされたファイルを検出できます。 Unblock-File コマンドレットを使用してスクリプトのブロックを解除し、PowerShell でスクリプトを実行できるようにします。

詳細については、「about_Signing、Get-Item、および Unblock-File」を参照してください。

Windows Server Core と Windows Nano Server での実行ポリシー

特定の条件下で Windows Server Core または Windows Nano Server で PowerShell 6 を実行すると、実行ポリシーが失敗し、次のエラーが発生する可能性があります。

AuthorizationManager check failed.
At line:1 char:1
+ C:\scriptpath\scriptname.ps1
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : SecurityError: (:) [], PSSecurityException
    + FullyQualifiedErrorId : UnauthorizedAccess

PowerShell では、Windows デスクトップ シェル (explorer.exe) の API を使用して、スクリプト ファイルのゾーンを検証します。 Windows シェルは、Windows Server Core および Windows Nano Server では使用できません。

また、Windows デスクトップ シェルが使用できない場合や応答しない場合は、任意の Windows システムでこのエラーが発生する可能性があります。 たとえば、サインオン時に、Windows デスクトップの準備が整う前に PowerShell ログオン スクリプトが実行を開始し、エラーが発生する可能性があります。

ByPass または AllSigned の実行ポリシーを使用する場合、問題を回避するゾーン チェックは必要ありません。

こちらも参照ください

• 環境変数について
• about_Group_Policy_Settings
• about_Pwsh
• サインについて
• Get-ExecutionPolicy
• Set-ExecutionPolicy
• Get-Item
• ファイルのブロック解除