AllSigned执行策略下，能否免手动添加证书消除PowerShell脚本信任警告？

核心结论 #

必须将签名证书添加到客户端的“受信任的发布者”证书存储，才能在AllSigned执行策略下消除“是否要运行来自未受信任发布者的软件？”的警告，不存在无需手动添加证书就能消除该提示的方案。

依据说明 #

• PowerShell AllSigned策略的明确规则：根据微软官方文档，该执行策略要求所有运行的脚本必须经过数字签名，且对于发布者证书未被系统分类为“信任”或“不信任”的脚本，会强制弹出确认提示。只有将证书添加到“受信任的发布者”存储，系统才会判定该发布者为可信，跳过提示环节。
• 与EXE/DLL签名验证的差异：EXE、DLL这类二进制文件的签名验证仅依赖Windows的根CA信任链，只要证书由受信任根CA（如Sectigo）颁发且状态有效，系统就会直接信任；但PowerShell额外增加了发布者身份信任校验，即使证书根CA受信任，只要发布者证书不在“受信任的发布者”列表中，仍会触发警告。
• 第三方及官方案例佐证：
  • 即使是微软自身签名的PowerShell脚本，若未将对应证书加入“受信任的发布者”，运行时同样会弹出相同警告；
  • HP官方文档也明确建议用户手动将证书添加到证书存储，以避免此类运行提示。

内容的提问来源于stack exchange，提问作者Filip Procházka