如何在PowerShell JEA的VariableDefinitions中定义非字符串变量及带保护值哈希表？

问题背景 #

使用New-PSSessionConfigurationFile配置PowerShell JEA会话时，通过VariableDefinitions节定义的变量，无论初始值类型是整数、数组还是哈希表，最终都会被转换为[string]类型（值为对象的类型名称字符串），无法保留原始类型。

解决方案 #

1. 定义非[string]类型变量 #

可以通过**脚本块（ScriptBlock）**替代直接赋值来保留变量的原始类型。JEA在初始化会话时会执行脚本块，并将其返回值赋值给变量，从而绕过默认的XML序列化类型转换限制。

修改后的VariableDefinitions配置示例：

VariableDefinitions @(
  @{ Name = 'Test'   ; Value = 'blah' }
  @{ Name = 'Integer'; Value = { 13 } }
  @{ Name = 'Array'  ; Value = { @(1,2,3,4,'b') } }
  @{
    Name  = 'Hash'
    Value = {
      @{
        Hash1 = '1'
        Hash2 = '2'
      }
    }
  }
)

验证变量类型：

> Invoke-Command {$Integer -is [int]}
True
> Invoke-Command {$Array -is [array]}
True
> Invoke-Command {$Hash -is [hashtable]}
True

2. 定义带有保护值的哈希表 #

要创建包含敏感/保护值的哈希表，需结合脚本块与加密机制，同时通过JEA权限控制限制用户对哈希表的直接访问：

步骤1：预加密敏感值

先将敏感值转换为加密字符串（基于当前用户或机器的加密上下文）：

# 生成加密字符串
$secureSecret = ConvertTo-SecureString "MySensitiveValue" -AsPlainText -Force
$encryptedSecret = $secureSecret | ConvertFrom-SecureString

步骤2：在JEA配置中通过脚本块解密并构建哈希表

将加密字符串写入VariableDefinitions的脚本块中，会话初始化时自动解密：

VariableDefinitions @(
  @{
    Name  = 'ProtectedHash'
    Value = {
      @{
        SensitiveKey = ConvertTo-SecureString "$encryptedSecret" # 替换为步骤1生成的加密字符串
        RegularKey   = "普通可查看值"
      }
    }
  }
)

步骤3：限制哈希表的直接访问

通过JEA的角色权限配置，不直接暴露ProtectedHash变量，而是提供自定义函数供用户访问指定值：

# 在会话配置文件中添加可见函数
VisibleFunctions = @('Get-ProtectedHashValue')

# 在角色能力文件（.psrc）中定义函数
Function Get-ProtectedHashValue {
  param([string]$Key)
  # 仅允许访问指定键，且可根据需求添加权限校验
  if ($Key -in 'SensitiveKey', 'RegularKey') {
    return $ProtectedHash[$Key]
  }
  throw "无权访问指定键"
}

这样用户只能通过Get-ProtectedHashValue函数获取哈希表中的值，无法直接修改或查看整个哈希表。

内容的提问来源于stack exchange，提问作者Dennis