如何针对指定用户组限制PowerShell命令权限：仅允许执行PS-Remote？

这个需求我太熟了，很多企业管控跳转服务器权限时都会遇到。你之前试的GPO和执行政策确实没踩对路子——GPO要么直接把PowerShell全禁了，要么管的是脚本执行权限；执行政策也只是限制脚本能不能跑，根本没法精准卡单个命令。

给你两个靠谱的方案，都是实际落地过的：

方案一：用PowerShell JEA（Just Enough Administration）—— 推荐首选 #

这是微软官方专门做最小权限管控的工具，完美匹配你的场景，安全又好维护。

• 第一步：在跳转服务器上创建JEA会话配置文件（比如命名为PSRemoteOnly.pssc），内容如下，把用户组换成你实际的组名：

@{
    SessionType = 'RestrictedRemoteServer'  # 启用受限会话，默认屏蔽大部分命令
    RunAsVirtualAccount = $true  # 用虚拟账号执行，避免权限泄漏
    RoleDefinitions = @{
        # 替换成你的目标用户组
        'DOMAIN\JumpHostAllowedUsers' = @{
            # 只放行PS远程相关的核心命令
            VisibleCmdlets = @(
                'Microsoft.PowerShell.Core\Enter-PSSession',
                'Microsoft.PowerShell.Core\Invoke-Command'
            )
        }
    }
}

• 第二步：注册这个会话配置
  打开管理员权限的PowerShell，跑这条命令：

Register-PSSessionConfiguration -Path .\PSRemoteOnly.pssc -Name PSRemoteOnly

• 第三步：验证效果
  让用户组的成员登录跳转服务器的PowerShell，试试执行Get-ChildItem或者其他命令，会直接提示“命令不可用”；但Enter-PSSession或者Invoke-Command就能正常用，而且他们完全没法在跳转服务器本地执行任何脚本或未授权命令。

方案二：组策略+PowerShell配置文件—— 临时过渡方案 #

如果暂时没法部署JEA，这个方法可以凑合用，但安全性不如前者，适合短期过渡。

• 用GPO给目标用户组设置强制登录脚本，这个脚本会修改用户的PowerShell配置文件，拦截所有非允许的命令：

# 定义允许的命令列表
$allowedCmds = @('Enter-PSSession', 'Invoke-Command')

# 清除所有非允许的命令别名和函数
Get-Command -CommandType Cmdlet, Alias | Where-Object { $_.Name -notin $allowedCmds } | ForEach-Object {
    if (Test-Path "Function:\$($_.Name)") {
        Remove-Item "Function:\$($_.Name)" -ErrorAction SilentlyContinue
    }
}

# 禁用本地脚本执行
Set-ExecutionPolicy -ExecutionPolicy Restricted -Scope CurrentUser -Force

• 关键是要通过GPO锁定用户的PowerShell配置文件权限，禁止用户修改或删除，不然懂行的用户可能会绕过这个限制。

为啥你之前的方法没效果？ #

• 执行政策：它只管控脚本文件能不能运行，管不了用户在控制台输入的命令，所以对你的场景没用
• 普通PowerShell配置文件：如果不配合权限锁定，用户可以手动跳过配置文件加载（比如用powershell.exe -NoProfile），等于白搭
• 常规GPO：要么全禁PowerShell，要么只是限制一些通用设置，没法精准放行单个命令

备注：内容来源于stack exchange，提问作者mna