长说明
PowerShell 执行策略是一项安全功能，用于控制 PowerShell 加载配置文件和运行脚本的条件。 此功能有助于防止恶意脚本的执行。
在 Windows 计算机上，可以为本地计算机、当前用户或特定会话设置执行策略。 还可使用组策略设置为计算机和用户设置执行策略。
本地计算机和当前用户的执行策略存储在注册表中。 无需在 PowerShell 配置文件中设置执行策略。 特定会话的执行策略仅存储在内存中，在会话关闭时会丢失。
执行策略不是限制用户操作的安全系统。 例如，当用户无法运行脚本时，可以通过在命令行中键入脚本内容来轻松绕过策略。 相反，执行策略可帮助用户设置基本规则，并防止他们无意中违反这些规则。
在非 Windows 计算机上，默认执行策略是 Unrestricted 且无法更改。 cmdlet Set-ExecutionPolicy 可用，但 PowerShell 会显示一条控制台消息，指出它不受支持。 虽然Get-ExecutionPolicy在非 Windows 平台上返回Unrestricted，但该行为确实匹配，Bypass因为这些平台不实现Windows 安全中心区域。
PowerShell 执行策略
仅在 Windows 平台上强制执行这些策略。 PowerShell 执行策略如下所示：
备注：
在未区分通用命名约定 (UNC) 路径与 Internet 路径的系统上，可能不允许使用 RemoteSigned 执行策略运行由 UNC 路径标识的脚本。
执行策略范围
可以设置仅在特定范围内有效的执行策略。
的有效值为 ScopeMachinePolicy、UserPolicy、ProcessCurrentUser 和 LocalMachine。 设置执行策略时，LocalMachine 是默认设置。
这些 Scope 值按优先顺序列出。 优先策略在当前会话中有效，即使在较低优先级上设置了限制性更高的策略也是如此。
有关详细信息，请参阅 Set-ExecutionPolicy。
MachinePolicy
由组策略为计算机的所有用户设置。
UserPolicy
由计算机当前用户的组策略设置。
Process
范围 Process 仅影响当前 PowerShell 会话。 执行策略保存在环境变量 $env:PSExecutionPolicyPreference中，而不是注册表中。 关闭 PowerShell 会话时，变量和值将被删除。
CurrentUser
执行策略仅影响当前用户。 它存储在 HKEY_CURRENT_USER 注册表子项中。
LocalMachine
执行策略会影响当前计算机上的所有用户。 它存储在 HKEY_LOCAL_MACHINE 注册表子项中。
使用 PowerShell 管理执行策略
若要获取当前 PowerShell 会话的有效执行策略，请使用 Get-ExecutionPolicy cmdlet。
以下命令获取有效的执行策略：
PowerShell复制
Get-ExecutionPolicy
获取影响当前会话的所有执行策略并按优先顺序显示它们：
PowerShell复制
Get-ExecutionPolicy -List
结果类似于以下示例输出：
Output复制
Scope ExecutionPolicy
----- ---------------
MachinePolicy Undefined
UserPolicy Undefined
Process Undefined
CurrentUser RemoteSigned
LocalMachine AllSigned
在这种情况下，有效执行策略为 RemoteSigned ，因为当前用户的执行策略优先于为本地计算机设置的执行策略。
若要获取为特定范围设置的执行策略，请使用 Scope 的 Get-ExecutionPolicy参数。
例如，以下命令获取 CurrentUser 范围的执行策略：
PowerShell复制
Get-ExecutionPolicy -Scope CurrentUser
更改执行策略
若要更改 Windows 计算机上的 PowerShell 执行策略，请使用 Set-ExecutionPolicy cmdlet。 更改将立即生效。 无需重启 PowerShell。
如果为 范围 LocalMachine 或 CurrentUser 设置执行策略，则更改将保存在注册表中，并在再次进行更改之前保持有效。
如果为 Process 范围设置执行策略，则不会将其保存在注册表中。 执行策略将一直保留到当前进程和任何子进程关闭为止。
备注
在 Windows Vista 和更高版本的 Windows 中，若要运行更改本地计算机（ LocalMachine 范围）执行策略的命令，请使用 “以管理员身份运行” 选项启动 PowerShell。
若要更改执行策略，请执行以下操作：
PowerShell复制
Set-ExecutionPolicy -ExecutionPolicy <PolicyName>
例如：
PowerShell复制
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned
若要在特定范围内设置执行策略，请执行以下操作：
PowerShell复制
Set-ExecutionPolicy -ExecutionPolicy <PolicyName> -Scope <scope>
例如：
PowerShell复制
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser
用于更改执行策略的命令可以成功，但仍不能更改有效的执行策略。
例如，为本地计算机设置执行策略的命令可以成功，但会被当前用户的执行策略覆盖。
删除执行策略
若要删除特定范围的执行策略，请将执行策略设置为 Undefined。
例如，删除本地计算机所有用户的执行策略：
PowerShell复制
Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope LocalMachine
删除 的执行策略 Scope：
PowerShell复制
Set-ExecutionPolicy -ExecutionPolicy Undefined -Scope CurrentUser
如果未在任何范围内设置执行策略，则有效的执行策略为 Restricted，这是 Windows 客户端的默认策略。
为一个会话设置不同的策略
可以使用 的 ExecutionPolicy 参数 pwsh.exe 为新的 PowerShell 会话设置执行策略。 该策略仅影响当前会话和子会话。
若要为新会话设置执行策略，请在命令行（如 cmd.exe 或 ）启动 PowerShell，然后使用 的 pwsh.exeExecutionPolicy 参数设置执行策略。
例如：
PowerShell复制
pwsh.exe -ExecutionPolicy AllSigned
设置的执行策略不会存储在注册表中。 而是存储在 环境变量中 $env:PSExecutionPolicyPreference 。 关闭在其中设置了策略的会话时，变量将被删除。 不能通过编辑变量值来更改策略。
在会话期间，为会话设置的执行策略优先于在本地计算机或当前用户的注册表中设置的执行策略。 但是，它不优先于使用组策略设置的执行策略。
使用组策略管理执行策略
可以使用“打开脚本执行组策略设置来管理企业中计算机的执行策略。 组策略设置将覆盖 PowerShell 在所有范围内设置的执行策略。
“打开脚本执行”策略设置如下所示：
如果禁用 “打开脚本执行”，则脚本不会运行。 这等效于 Restricted 执行策略。
如果启用 “打开脚本执行”，则可以选择执行策略。 组策略设置等效于以下执行策略设置：组策略执行策略允许所有脚本Unrestricted允许本地脚本和远程签名脚本RemoteSigned仅允许签名的脚本AllSigned
如果未配置 “打开脚本执行 ”，则不起作用。 PowerShell 中设置的执行策略有效。
PowerShellExecutionPolicy.adm 和 PowerShellExecutionPolicy.admx 文件将打开脚本执行策略添加到组策略编辑器中的“计算机配置”和“用户配置”节点，路径如下。
对于 Windows XP 和 Windows Server 2003：
Administrative Templates\Windows Components\Windows PowerShell
对于 Windows Vista 及更高版本的 Windows：
Administrative Templates\Classic Administrative Templates\Windows Components\Windows PowerShell
在“计算机配置”节点中设置的策略优先于“用户配置”节点中设置的策略。
有关详细信息，请参阅 about_Group_Policy_Settings。
执行策略优先级
确定会话的有效执行策略时，PowerShell 将按以下优先顺序评估执行策略：复制
Group Policy: MachinePolicy
Group Policy: UserPolicy
Execution Policy: Process (or pwsh.exe -ExecutionPolicy)
Execution Policy: CurrentUser
Execution Policy: LocalMachine
管理已签名和未签名的脚本
在 Windows 中，Internet Explorer 和 Microsoft Edge 等程序将备用数据流添加到下载的文件。 这会将文件标记为“来自 Internet”。 如果 PowerShell 执行策略为 RemoteSigned，则 PowerShell 不会运行从 Internet 下载的未签名脚本，其中包括电子邮件和即时消息程序。
你可以对脚本进行签名，或者选择在不更改执行策略的情况下运行未签名的脚本。
从 PowerShell 3.0 开始，可以使用 cmdlet 的 Get-ItemStream 参数来检测因从 Internet 下载而阻止的文件。 Unblock-File使用 cmdlet 取消阻止脚本，以便可以在 PowerShell 中运行它们。
有关详细信息，请参阅 about_Signing、 Get-Item 和 Unblock-File。
备注
下载文件的其他方法可能不会将文件标记为来自 Internet 区域。 示例包括：
curl.exeInvoke-RestMethodInvoke-WebRequest
Windows Server Core 和 Window Nano Server 上的执行策略
在某些情况下，在 Windows Server Core 或 Windows Nano Server 上运行 PowerShell 6 时，执行策略可能会失败并出现以下错误：
Output复制
AuthorizationManager check failed.
At line:1 char:1
+ C:\scriptpath\scriptname.ps1
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
+ CategoryInfo : SecurityError: (:) [], PSSecurityException
+ FullyQualifiedErrorId : UnauthorizedAccess
PowerShell 使用 Windows 桌面 shell (explorer.exe) 中的 API 来验证脚本文件的区域。 Windows Shell 在 Windows Server Core 和 Windows Nano Server 上不可用。
如果 Windows 桌面 Shell 不可用或无响应，你也可能在任何 Windows 系统上收到此错误。 例如，在登录期间，PowerShell 登录脚本可能会在 Windows 桌面准备就绪之前开始执行，从而导致失败。
使用 ByPass 或 AllSigned 的执行策略不需要区域检查，这可以避免此问题。
