PowerShell – это один из основных инструментов, который может использовать системный администратор для выполнения настройки и для управления доменной сетью. Часто у системного администратора возникает необходимость удаленно подключиться к серверу и выполнить на нем определенные задачи. Конечно, можно использовать Remote Desktop, но этом случае администратор будет ограничен – не всегда можно легко и быстро удаленно подключиться к компьютеру, не всегда под рукой есть удобный компьютер. В этой статье я расскажу вам о возможности удаленного подключения с использованием PowerShell Web Access.
PowerShell позволяет с помощью специальных командлетов выполнить абсолютно все, что можно сделать в системе, используя графический интерфейс, а также то, что в графическом интерфейсе выполнить невозможно. Таким образом, PowerShell является универсальным средством управления.
Основное достоинство PowerShell Web Access заключается в том, что системный администратор может работать на сервере удаленно, используя самый обычный браузер. И предвидя возможные вопросы, под обычным браузером здесь подразумевается не только InternetExplorer, но и Safari, и Mozila Filefox, и Google Chrome.
Список поддерживаемых браузеров:
- Windows Internet Explorer для Microsoft Windows 8.0, 9.0, 10.0 и 11.0
- Mozilla Firefox 10.0.2
- Google Chrome 17.0.963.56m для Windows
- Apple Safari 5.1.2 для Windows
- Apple Safari 5.1.2 для Mac OS
Для установки и настройки PowerShell Web Access нужно выполнить три основных шага:
- Установить PowerShell Web Access
- Настроить шлюз
- Настроить правила авторизации и безопасности сайта
Далее подробное выполнение каждого из этих шагов я вам и опишу. Кстати, уже упоминалось, что в большинстве случаев настройку Windows Server можно выполнять двумя способами – с помощью графического интерфейса и с помощью командлетов PowerShell.
1 Установка PowerShell Web Access
Сам процесс установки PowerShell Web Access довольно-таки обычен. Установить этот компонент можно как с помощью Мастера установки ролей и компонентов сервера (Add Roles and Features Wizard), так и с помощью командлета PowerShell.
В Мастере установки ролей и компонентов выбираем пункт Компоненты (Features) и в нем устанавливаем дополнение для PowerShell –PowerShell Web Access. Для корректной работы PowerShell Web Access должна быть установлена роль веб-сервера (Web Server Role — IIS), которая будет автоматически выбрана для инсталляции.
Также вы всегда можете воспользоваться альтернативным решением и использовать для установки не графический интерфейс, а командлет PowerShell (только не забудьте запустить PowerShell с правами Администратора):
Install-WindowsFeature –Name WindowsPowerShellWebAccess -ComputerName <computer_name> -IncludeManagementTools –RestartТем не менее, установка – это только первый шаг в настройке работы PowerShell Web Access.
2 Настройка шлюза
Настраивать шлюз необходимо на том сервере, на который была установлена роль PowerShell Web Access.
Для настройки PowerShell Web Access, можно использовать командлет Install—PswaWebApplication. С помощью него вы установите веб приложения PowerShell Web Access на ваш сайт, созданный по умолчанию при установке IIS сервера. Путь по умолчанию к сайту выглядит следующим образом: https://<имя_сервера>/pswa. Для изменения этого значения вы можете использовать параметр WebApplicationName (если хотите изменить имя веб приложения – pswa) и WebSiteName (если хотите установить веб приложения на другой сайт). Также, для обеспечения безопасности вашей среды, необходимо использовать действительный сертификат, который подписан вашей службой Certification Authority. О том, как настроить SSL-сертификат в диспетчере служб IIS можно прочитать здесь.
3 Настройка правил авторизации и безопасности сайта
После того, как вы установили PowerShell Web Access и настроили шлюз (установили веб приложение), ваши пользователи смогут открыть страницу входа в браузере, но не смогут выполнить вход. Причина в том, что пока мы не предоставили доступ нашим пользователям в явном виде. Важно отметить, что при проверке подлинности при авторизации в PowerShell Web Access доступ по умолчанию ограничен, а не разрешен. Т.е. если разрешение пользователю явно не выдано, то доступа к чему-либо у этого пользователя нет.
Добавить правила авторизации можно только с помощью командлетов PowerShell, графический интерфейс для этого не предусмотрен. Для добавления правила авторизации мы используем командлет Add-PswaAuthorizationRule с различными параметрами, позволяющими указать имя пользователя, имя компьютера и т.д. (подробнее про командлеты для PowerShell Web Access здесь):
Теперь пользователь может из браузера подключиться к PowerShell Web Access и начать работу. Причем подключиться вы можете к любому из серверов, если имеете соответствующее разрешение.
Сеанс PowerShell Web Access представляет собой командную строку PowerShell, с помощью которой вы можете удаленно управлять задачами на вашем сервере.
Еще одной интересной возможностью, предлагаемой PowerShell Web Access, является возможность сохранения сеансов и переподключения к ним с различных устройств (нажмите кнопку «Save»). По умолчанию PowerShell Web Access ограничивает пользователя тремя одновременными сеансами.
Время ожидания сеансов PowerShell Web Access не вечно. Сообщение об истечении времени ожидания отображается для вошедшего пользователя через 15 минут отсутствия активности в сеансе. Если пользователь не отвечает в течение пяти минут после вывода сообщения об истечении времени ожидания, сеанс заканчивается, и пользователь выходит из системы. Значения по умолчанию для PowerShell Web Access можно изменить в параметрах веб-сайта в диспетчере служб IIS.
Отмечу, что так как PowerShell Web Access – это веб-консоль PowerShell для конкретного удаленного компьютера, то вы можете использовать только те командлеты или сценарии PowerShell, которые на этом удаленном компьютере доступны.
Чем отличается веб-консоль от локальной PowerShell? Большая часть базового функционала доступна, но отличия есть:
- При сообщении информации о ходе выполнения какой-либо задачи на экране отображается только конечный результат выполнения командлета (этапы выполнения не показываются)
- Фоновый и основной цвета изменить в веб-консоли нельзя
- PowerShell Web Access в своем интерфейсе не реализует ряд методов, например, любые команды, осуществляющие запись в консоль Windows
- PowerShell Web Access не поддерживает некоторые сочетания клавиш, во многих случаях потому, что эти клавиши зарезервированы для команд браузера
Кроме того, используя PowerShell Web Access вы попадаете под ряд ограничений:
- Двойное подключение — попытка подключиться ко второму удаленному компьютеру из существующего подключения
- PowerShell Web Access использует и имеет те же ограничения, что и удаленный сеанс Windows PowerShell
- Заполнение нажатием клавиши TAB не действует в сеансах, сконфигурированных для работы в ограниченном пространстве выполнения или в режиме NoLanguage, также не может быть запущена команда exit для завершения сеанса (для выхода нужно будет нажать соответствующую кнопку на странице консоли)
- PowerShell Web Access допускает только одно подключение к удаленному компьютеру в рамках одного сеанса браузера; нельзя выполнить один вход и подключиться к нескольким удаленным компьютерам, используя отдельные вкладки браузера
- При бездействии сеанса шлюза PowerShell Web Access удаленное подключение между шлюзом и конечным компьютером закрывается. При этом прекращается выполнение всех командлетов или сценариев. Поэтому для выполнения длительных задач рекомендуется использовать PowerShell.
Надеюсь, что вы нашли в этой статье полезную для себя информацию, которую сможете применить в вашей работе.
Спасибо за внимание!
Полезные ссылки
- Попробовать Azure бесплатно на 30 дней!
- Изучить курсы виртуальной академии Microsoft
- Cross-Platform Development with Visual Studio
- Основы построения доменной сети. Часть 2
- Модернизация инфраструктуры организации с помощью Windows Server 2012 R2
- Введение в программирование игр на Unity
- Бизнес и облако: лучшие практики решений
- Скачать пробную версию Windows Server 2012 R2
- Загрузить бесплатную или пробную Visual Studio
It was first introduced in Windows Server 2012, and back then, I was amazed by it, really liked it, and… It’s still there, even in Windows Server 2022. I will show you what it is and how it works in this blog post.
- What is Windows PowerShell Web Access?
- Who should use it?
- How to install
- Windows Feature
- Configuring the Gateway
- Restricing Access
- How to use Windows PowerShell Web Access
- More information
“Windows PowerShell® Web Access, first introduced in Windows Server® 2012, acts as a Windows PowerShell gateway, providing a web-based Windows PowerShell console that is targeted at a remote computer. It enables IT Pros to run Windows PowerShell commands and scripts from a Windows PowerShell console in a web browser, with no Windows PowerShell, remote management software, or browser plug-in installation necessary on the client device. All that is required to run the web-based Windows PowerShell console is a properly-configured Windows PowerShell Web Access gateway, and a client device browser that supports JavaScript® and accepts cookies”
Source: https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/hh831611(v=ws.11)
Who should use it?
Azure Cloud Shell has more functions and also runs in a browser, but for 365/Azure. Windows PowerShell Web Access is more suitable for on-prem management and you can restrict access for users to specific servers on which they can run a task. Easy for on the go, you just need a browser and no local installation of modules on a local device.
How to install
Windows Feature
You can install it from the Roles and Features GUI using Server Manager:
Or from a PowerShell command prompt:
Install-WindowsFeature –Name WindowsPowerShellWebAccess -IncludeManagementTools
At the end of the installation this link is shown:
For more information about how to finish installing and configuring Windows PowerShell Web Access, see http://go.microsoft.com/fwlink/?LinkID=221050.
This link is the same one from Microsoft Learn like I shared above. Restart the server to complete the installation.
Configuring the Gateway
To add the PSWA (PowerShellWebAccess) website to IIS, you must run to Install-PsaWebApplication cmdlet. You can run this with the -UseTestCertificate to let it create a certificate for you. This is ok for testing, but it’s better to have an official certificate. (My test Server is a Certificate Authority and I will be using a certificate from that).
In this example below I install the PSWA website on my test server:
PS C:\Users\Administrator> Install-PswaWebApplication Creating application pool pswa_pool... Name State Applications ---- ----- ------------ pswa_pool Started Creating web application pswa... Path : /pswa ApplicationPool : pswa_pool EnabledProtocols : http PhysicalPath : C:\Windows\Web\PowerShellWebAccess\wwwroot
Restricing Access
Users need to be granted access before they can use PowerShell Web Access. You can do this by creating an authorization rule. To limit access to server W2K22Member.test.local to the test\administrator account, for example, you can create the Authorization Rule by running:
Add-PswaAuthorizationRule –UserName Test\Administrator -ComputerName W2K22Member.test.local -ConfigurationName Microsoft.powerShell
After running the command, you should see this:
How to use Windows PowerShell Web Access
Now that the Windows Feature is installed and the access is there, you can use your browser and connect to https://servername.domain.local/pswa. (In my example, https://w2k22dc.test.local/pswa) Note that it shows Windows Server 2016 even though my server is running Windows Server 2022 😉
You can now enter the credentials:
After clicking Sign In, you will see this:
In the lower right you can see the server that you are connected to. You can type command using the line at the buttom and clicking on Submit. I ran the Get-Service cmdlet and it shows all the services, for example:
You can reconnect your session after inactivity, delete or start a new session:
But you can also Save your session and return to it by clicking on Save:
You can autocomplete commands using the Tab-key or the arrow pointing right works and you can browse the History by clicking the arrow pointing up or using the Up-Arrow. Keys that don’t work are: (Because you’re running it in a browser)
There’s a list of things that don’t work here, most important ones are:
- Double-hop. You can encounter the double-hop (or connecting to a second computer from the first connection) limitation if you try to create or work on a new session by using Windows PowerShell Web Access. Windows PowerShell Web Access uses a remote runspace, and currently, PowerShell.exe does not support establishing a remote connection to a second computer from a remote runspace. If you attempt to connect to a second remote computer from an existing connection by using the Enter-PSSession cmdlet, for example, you can get various errors, such as “Cannot get network resources.”
- Windows PowerShell Web Access uses and has the same limitations as a remote Windows PowerShell session. Commands that directly call Windows console APIs, such as those for console-based editors or text-based menu programs, do not work because the commands do not read or write to standard input, output, and error pipes. Therefore, commands that launch an executable file, such as notepad.exe, or display a GUI, such as OpenGridView or ogv, do not work. Your experience is affected by this behavior; to you, it appears that Windows PowerShell Web Access is not responding to your command.
- Persistent Windows PowerShell sessions (Reconnection). After you time out of the Windows PowerShell Web Access gateway, the remote connection between the gateway and the target computer is closed. This stops any cmdlets or scripts that are currently in process. You are encouraged to use the Windows PowerShell -Job infrastructure when you are performing long-running tasks, so that you can start jobs, disconnect from the computer, reconnect later, and have jobs persist. Another benefit of using -Job cmdlets is that you can start them by using Windows PowerShell Web Access, sign out, and then reconnect later, either by running Windows PowerShell Web Access or another host (such as Windows PowerShell® Integrated Scripting Environment (ISE)).
More information
You can find more information about Windows PowerShell Web Access in the link mentioned above in the first chapter, interesting links to secure access even more:
- Using Custom Sessions
- Configuring authorization rules and site security
Published by Harm Veenstra
#Consultant #Microsoft #PowerShell #MVP
View all posts by Harm Veenstra
Published
Browser Based, Free, Home Lab, Home Lab Ideas, How To, i12bretro, IIS, Install Guide, Internet Information Services, Microsoft, Microsoft Windows, PowerShell, PowerShell Web Access, Remote Management, Self-hosted, Tutorial, Web Based, Web Based Tools, Web Based Utilities, Web Server, Windows
1 Minute
View interactive steps on GitHub
Windows PowerShell® Web Access, first introduced in Windows Server® 2012, acts as a Windows PowerShell gateway, providing a web-based Windows PowerShell console that is targeted at a remote computer. It enables IT Pros to run Windows PowerShell commands and scripts from a Windows PowerShell console in a web browser, with no Windows PowerShell, remote management software, or browser plug-in installation necessary on the client device. –https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh831611(v=ws.11)
Install PowerShell Web Access
- Log into the Windows Server device
- Run the following commands in PowerShell as administrator
# install IIS and powershell web access
Add-WindowsFeature –name Web-Server,WindowsPowerShellWebAccess -IncludeManagementTools
# configure powershell web access gateway
Install-PswaWebApplication –webApplicationName powershell –useTestCertificate
# grant PSWA access to current user on current server
Add-PswaAuthorizationRule -UserName $ENV:UserDNSDomain\$ENV:UserName -ComputerName * -ConfigurationName *
# or grant access to all users
Add-PswaAuthorizationRule * * * - Open a web browser and navigate to https://DNSorIP/powershell
- Login using the credentials authorized above
User name: <domain>\<username>
Password: <user password>
Connection type: Computer Name
Computer name: <fully qualified server name>User name: i12bretro.local\i12bretro
Password: <user password>
Connection type: Computer Name
Computer name: i12bretrodc.i12bretro.local - Click Sign In
- Welcome to Powershell Web Access
Source: https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/hh831611(v=ws.11)
More Info: https://docs.microsoft.com/en-us/previous-versions//hh918342(v=technet.10)?redirectedfrom=MSDN
Published
Microsoft PowerShell Web Access Server is a very cool method of accessing PowerShell over Internet from any supported browser. Microsoft had introduced this feature first in Windows server 2012 OS version. As in below diagram once Powershell web access feature service is installed on the server, and with few configuration server acts as proxy gateway, Users can access in-house servers over internet or from inside the organization. Mostly this feature is used by IT administrators. This is very handy for me, I have setup in my organization, when I am in meeting or cafeteria, and I get a call regarding issues, for minor issued I login to Microsoft PowerShell web console. and solve the problem in real time with my mobile.
GUI — SETUP AND CONFIGURE POWERSHELL WEB ACCESS SERVER (GATEWAY)
USE POWERSHELL ON MOBILE — SETUP AND CONFIGURE POWERSHELL WEB ACCESS (PSWA)
In this installation process I will setup and configure all the available GUI tools, I have created another Part of this article completely using powershell. I am using Server Manager GUI to install Powershell web access server feature. Open Server Manager and run Add Roles and Features Wizard, I have kept all the options defaults for Before You Begin, Installation type, server selection, server roles,, confirmation and results in wizard and mostly pressed Next.
I have only modified feature menu, and selected tick mark on Windows Powershell Web access sub service under Windows powershell feature. as shown in below screenshot. PSWA is dependent on IIS web server, It will be showing default IIS roles services it will be installing with this feature, Keep everything default and press install/finish in the last.
Microsoft description: Windows Powershell Web Access lets a server act as a web gateway through with an organization’s users can manage remote comuters by running Windows PowerShell sessions in a web browser. After Windows PowerShell Web Access is installed, and administrator completes the gateway configuration in the Web Server (IIS) management console.
Once Windows PowerShell web access feature is installed successfully, Open IIS (Internet Information Services manger) from Control Panel\Administrative tools or server manager tools, Expand server name and right click add application pool. Give it Name pswa_pool, click ok.
New application pool will be installed and it can be seen in the IIS manager under Application pools.
Next thing is crucial and I will add application. Give it alias name pswa. and select application pool earlier created from the drop down list. Physical path is important and it is %windir%\web\PowershellWebAccess\wwwroot by default. (%windir% is equal to folder c:\windows folder in most of the cases), This folder and contents are created once Powershell web access feature is installed.
Once application is installed new application can been seen (pswa), As Powershell web access server doesn’t work without ssl certificate, I will create one manually clicking on server name and SSL certificates.
Currently I don’t have any certificate, Click on self sign certificate, give it some friendly name, In my case I am keeping the same as hostname plus fqdn and it will be stored in personal certificate store. Later you can come here and add valid certificates.
Once this self signed certificate is created I see all the related information in the list. Next step is to deploy certificate on Default web site, Note This certificate is valid for one year.
Right click on Default web site and click Edit Bindings to add and configure SSL website. In the drop down list of Type select https, and select the newly created self-signed SSL certificate, click ok.
At this point IIS server is fully setup, Additional site binding for https port 443 looks like below, click close.
Next add powershell web access authorization rule (this is rule for access, Who (user) can access what (server)). Currently there is no compatible GUI for this process and need to perform this through only Powershell command. I have active directory user «vcloud-lab\kunal» and it can access only «pswa» server from Powershell console web browser.
Add-PswaAuthorizationRule -Username vcloud-lab\Kunal -ComputerName pswa -ConfigurationName sysadmins
New rule is added with Id 0 and Rulename will be Rule 0.
In next command assign read permissions to C:\windows\web\powershellwebaccess\data\AuthorizationRules.xml. This again can be done only through command line, «IIS AppPool\pswa_tool» will have read access to this file.
$applicationPoolName = «pswa_pool»
$authorizationFile = «C:\windows\web\powershellwebaccess\data\AuthorizationRules.xml»
c:\windows\system32\icacls.exe $authorizationFile /grant (‘»‘ + «IIS AppPool\$applicationPoolName» + ‘»:R’) > $null
I can see on the AuthorizationRules.xml security properties, permissions for User «IIS AppPool\pswa_pool» is added with Read permissions.
Complete configuration is done. Open any favorite browser and type url https://<ip or fqdn>/pswa. Type user name and password (in my case it is vcloud-lab\vkunal configured earlier in authorization rule and next is computer name pswa), this is what i added earlier in the rule, hit sign in.
On the next page I can see the powershell console on the browser and commands can be executed.
Relevant posts on installing feature with all the screenshots.
PART 1 : INSTALL ACTIVE DIRECTORY DOMAIN CONTROLLER ON VMWARE WORKSTATION
USE POWERSHELL ON MOBILE — SETUP AND POWERSHELL WEB ACCESS (PSWA)
(For more resources related to this topic, see here.)
All that is required to run the web-based Windows PowerShell console is a properly configured Windows PowerShell Web Access gateway, and a client device browser that supports JavaScript and accepts cookies.
Examples of client devices include laptops, tablet computers, web kiosks, computers that are not running a Windows-based operating system, and cell phone browsers. IT pros can perform critical management tasks on remote Windows-based servers from devices that have access to an Internet connection and a web browser.
Users can access a Windows PowerShell console by using a web browser. When users open the secured Windows PowerShell Web Access website, they can run a web-based Windows PowerShell console after successful authentication, as shown in the following screenshot:
Here are the steps that I followed to test PSWA (PowerShell Web Access).
Step 1 — installing Windows PowerShell Web Access
Run the following command:
PS C:UsersAdministrator> Install-WindowsFeature WindowsPowerShellWebAccess
You should now see the following screen:
Once we install PowerShell Web Access, we need to start to configuring it.
Step 2 – configuring Windows PowerShell Web Access
We will configure Windows PowerShell Web Access by installing the web application and configuring a predefined gateway rule. Now, create just a test certificate and an SSL binding using that certificate for a test environment:
PS C:UsersAdministrator> Install-PswaWebApplication –useTestCertificate
After this, you should see the following screenshot:
Now, set the authorization rule on which all can have rights for PowerShell Web Access; for my test environment, I set it to *, which means all have access:
PS C:UsersAdministrator> Add-PswaAuthorizationRule –ComputerName * -UserName * -ConfigurationName *
This step gives the following output:
Now if you run a Get-PswaAuthorizationRule command, you can see the list of users having access to PSWA:
PS C:UsersAdministrator> Get-PswaAuthorizationRule
The following screenshot shows the output:
Now that PowerShell Web Access is set up, we can access the PSWA page via a web browser. You get an error message, Error! Hyperlink reference not valid. You should see the following options on the screen:
You will receive this error because you are using a test certificate that cannot be validated; click on Continue to this website (not recommended).
You will now reach the following page:
Now enter the username and password to connect to a remote computer, which also accepts IP addresses (specified in computer name block), and voila! You are now logged into the remote console of the server:
Run a hostname command, $psversiontable, and also query wmi for the operating system installed on your remote system, and it indeed shows that you were logged into the correct host and it also had PowerShell v2 installed:
I also wanted to share one more screen along with this example for inactive session timeout which autologged off my session when I was inactive for a certain period of time:
Now let’s see a real-world example of PowerShell Web Access. Here’s the console when I accessed it from my Android tablet.
So, we can see that with PSWA you can get a fully fledged PowerShell environment on my handheld device:
Summary
In this article, we looked how we used PowerShell Web Access to manage your Windows Server Environment anywhere, anytime, and on any device.
Resources for Article:
Further resources on this subject:
- Exchange Server 2010 Windows PowerShell: Working with Address Lists [Article]
- So, what is PowerShell 3.0 WMI? [Article]
- Inventorying Servers with PowerShell [Article]