一、理解 JEA 的角色能力与会话配置
JEA 并非一个单独的命令或开关，而是由角色能力文件和会话配置文件协同实现的最小权限管理框架。角色能力文件以 .psrc 为扩展名，负责定义用户能够看到和调用的命令、函数、外部程序以及可用变量，同时还可以通过自定义函数包装危险操作。会话配置文件以 .pssc 为扩展名，决定哪些用户或组可以连接到这个受限会话，并指定会话是以虚拟账户运行还是以组托管服务账户运行。核心设计思路是：用户连接时只会加载被允许的命令，其他命令即使尝试运行也会被拒绝，而且整个会话不具备管理计算机的完整管理员权限，但可以在需要时通过虚拟账户获得执行特定管理任务所需的身份。
在规划 JEA 部署之前，必须先梳理运维场景中的实际需求。例如只允许一线支持人员重启打印后台处理服务，或者只允许数据库管理员查看服务状态。把这些任务整理成清单后，就能决定哪些 cmdlet 需要开放、哪些参数需要限制。JEA 的参数级控制比单纯的命令白名单更精细，它可以禁止用户向危险参数传入任意值。比如允许使用 Restart-Service，但只允许指定 Spooler 服务，这样可以避免重启其他关键服务。与传统把用户加入本地管理员组相比，JEA 不需要改变用户账户的权限级别，也不需要把凭据存储在脚本或计划任务中。
二、编写角色能力文件并定义命令白名单
角色能力文件使用 PowerShell 数据文件语法，通常放在 C:\Program Files\WindowsPowerShell\Modules\Jea\RoleCapabilities 目录下。文件开头使用 @{ 和 } 定义哈希表，内部使用键值对。最重要的键包括 VisibleCmdlets、VisibleFunctions、VisibleExternalCommands、VisibleAliases 以及 ScriptsToProcess。下面是一个允许重启 Spooler 服务和查看服务状态的角色能力文件示例。
# 角色能力文件：ServiceSupport.psrc
@{
Guid = 'd3f8a1e2-5a47-4c20-9c45-9d1a7f2c8b21'
Author = 'IT Operations'
CompanyName = 'Contoso'
VisibleCmdlets = @(
@{
Name = 'Restart-Service'
Parameters = @(
@{ Name = 'Name'; ValidateSet = 'Spooler' }
)
},
@{
Name = 'Get-Service'
Parameters = @(
@{ Name = 'Name'; ValidatePattern = 'Spooler|WinRM' }
)
}
)
VisibleFunctions = @()
VisibleExternalCommands = @()
}
在上面的配置中，Restart-Service 只有 Name 参数可用，而且值必须为 Spooler，其他服务名会被拒绝。通过 ValidateSet 和 ValidatePattern 可以在参数级别建立白名单。除了列出可见命令，还可以使用 FunctionDefinitions 字段定义代理函数，把多个命令封装成一个安全入口。比如可以定义一个名为 Restart-PrintSpooler 的函数，在函数内部仅执行 Restart-Service -Name Spooler，然后只向用户公开这个函数，这样用户甚至看不到底层的 Restart-Service 命令。
角色能力文件也支持通过 VisibleExternalCommands 允许运行非 PowerShell 可执行文件，但开放外部命令会扩大攻击面，应当少用。此外，ScriptsToProcess 可以指定在用户连接会话时自动运行的脚本，用于初始化环境或导入模块。需要特别注意的是，角色能力文件中的 GUID 必须唯一，否则可能在多台服务器部署时产生冲突。可以使用 New-Guid 生成一个全局唯一标识符。
三、创建并注册 JEA 会话配置文件
会话配置文件将角色能力文件与具体的访问账户关联起来。通常使用 New-PSSessionConfigurationFile 命令生成 .pssc 文件，然后用 Register-PSSessionConfiguration 注册到 WinRM 服务。下面示例创建了一个名为 HelpdeskJEA 的会话配置，仅允许 contoso\Helpdesk 组连接，使用虚拟账户运行，并关联上一节创建的角色能力文件。
# 创建会话配置文件
$psscPath = 'C:\Program Files\WindowsPowerShell\Modules\Jea\SessionConfigurations\HelpdeskJEA.pssc'
New-PSSessionConfigurationFile -Path $psscPath `
-SessionType RestrictedRemoteServer `
-RunAsVirtualAccount `
-LanguageMode NoLanguage `
-RoleDefinitions @{ 'contoso\Helpdesk' = @{ RoleCapabilities = 'ServiceSupport' } }
该命令生成的文件中，SessionType 指定为 RestrictedRemoteServer，表示用户只能通过远程会话访问，不能在本地交互式登录使用。 RunAsVirtualAccount 让连接用户获得一个临时的高权限虚拟账户，从而执行需要管理员权限的操作，但该虚拟账户仅存在于该会话期间。 RoleDefinitions 把访问主体映射到角色能力文件，支持按组或按用户分配不同的角色。如果希望使用组托管服务账户而不是虚拟账户，可以改用 RunAsVirtualAccount = $false 并配置 GroupManagedServiceAccount。
生成 .pssc 文件后，需要注册会话配置。这一步需要管理员权限，注册命令会向 Windows Remote Management 服务添加新的终结点配置。命令如下：
# 注册 JEA 会话配置 Register-PSSessionConfiguration -Name HelpdeskJEA -Path $psscPath -Force # 可选：重启 WinRM 服务使配置生效 Restart-Service WinRM
注册完成后，可以使用 Get-PSSessionConfiguration -Name HelpdeskJEA 查看配置是否成功。如果后续需要修改角色能力或访问控制，可以先使用 Unregister-PSSessionConfiguration 注销再重新注册，或者直接编辑 .pssc 文件后重新执行注册命令。对于多台服务器部署，建议将 .psrc 和 .pssc 文件放入统一的模块目录，并通过组策略或配置管理工具分发，这样可以保持配置一致并降低人工操作出错概率。
四、连接测试、故障排查与审计日志
JEA 部署完成后，应当从非管理员工作站进行连接测试。可以使用 Enter-PSSession 加 -ConfigurationName 参数来指定 JEA 终结点。例如：
Enter-PSSession -ComputerName Server01 -ConfigurationName HelpdeskJEA -Credential contoso\helpdeskuser
连接成功后，可以调用 Get-Service -Name Spooler 或 Restart-Service -Name Spooler 测试权限。如果尝试运行未授权的命令，比如 Stop-Computer 或 Get-Process，会看到 Access denied 或 CommandNotFoundException 错误。这些错误正好验证了 JEA 的限制是否生效。还可以用 Get-Command 查看当前会话中实际可见的命令，确认白名单没有被意外扩大。
JEA 的审计日志默认会记录到 Windows PowerShell 的转录文件中。转录文件通常保存在 C:\Windows\System32\WindowsPowerShell\v1.0\Transcripts 目录下，文件以日期和会话 ID 命名。管理员可以通过查看这些转录文件还原用户在 JEA 会话中执行过的每一条命令。对于安全要求更高的环境，还可以结合 Windows 事件日志中的 PowerShell 操作日志或启用组策略的脚本块日志增强审计能力。需要注意的是，虚拟账户在执行管理任务时显示的身份是计算机名加上临时生成的用户名，例如 Server01\JeaUser_1234，这有利于审计追溯但不会暴露真实用户密码。
常见故障集中在角色能力文件路径不正确、会话配置中角色名称拼写错误、WinRM 未启用或防火墙阻止 5985/5986 端口。排查时可以先用 Test-WSMan 验证远程管理连接，再查看事件查看器中 Microsoft-Windows-PowerShell/Operational 日志。另外，如果 .psrc 文件语法有误，注册会话配置时会报错，可以使用 Import-PowerShellDataFile 验证文件内容是否合法。
PowerShell Just Enough AdministrationJEA委派管理修改时间：2026-08-23 09:19:39