PowerShell远程执行结合JEA的核心是分离连接权限与操作权限：用户以普通账户连接，实际在隔离、临时、权限精准的虚拟账户下运行预定义命令集。
powershell 远程执行结合 jea（just enough administration），核心是把“能连上”和“能做什么”彻底分开——用户用普通账户连接，实际操作却在隔离、临时、权限精准的虚拟账户下运行，只暴露预定义的命令集。
准备角色能力与会话配置文件
JEA 不是开箱即用的功能，必须先定义“允许做什么”。这分两步：
- 写一个角色功能文件（.psrc），明确列出允许的 cmdlet、参数、脚本路径、外部程序（如 whoami.exe）等。例如，只为 DNS 管理员开放 Get-DnsServer、Restart-Service（仅限 dns 服务）；
- 再写一个会话配置文件（.pssc），指定该终结点的名称、使用哪个角色、运行身份（推荐虚拟帐户）、可见命令前缀（如 dns-*）等。虚拟帐户默认属本地管理员组，但可改为更细粒度的自定义安全组（如 DNSAdmins）。
注册并启用 JEA 终结点
配置好文件后，在目标服务器上注册为 PowerShell 远程终结点：
- 以本地管理员身份运行：Register-PSSessionConfiguration -Name DNSOps -Path .\DNSOps.pssc -Force；
- 确认注册成功：Get-PSSessionConfiguration | Where-Object Name -eq 'DNSOps'；
- 默认情况下终结点是禁用的，需显式启用：Set-PSSessionConfiguration -Name DNSOps -AccessMode Remote -Force；
- 授权特定用户或组（如 Active Directory 中的 DNSOperators 组）连接：Set-PSSessionConfiguration -Name DNSOps -GrantToGroup "DNSOperators" -Force。
从客户端发起受限远程会话
用户无需特权账户，只要在授权组中，就能通过标准 PowerShell 远程命令接入：
- 交互式连接：Enter-PSSession -ComputerName Server01 -ConfigurationName DNSOps；
- 执行单条命令：Invoke-Command -ComputerName Server01 -ConfigurationName DNSOps -ScriptBlock { Get-DnsServerZone }；
- 注意：此时看到的命令列表（Get-Command）仅包含你角色中定义的内容，其他所有 cmdlet、Get-Process、net user 等均不可见、不可用；
- 所有操作日志会记录在 Windows 日志 → 应用程序和服务日志 → Microsoft-Windows-PowerShell/Operational 中，含用户、命令、参数、时间戳。
关键安全细节不能跳过
JEA 的防护力取决于配置精度：
- 虚拟帐户不跨机器生效——它在 Server01 上的权限，不会带到 Server02；
- 禁止用 JEA 终结点做多跃点委派（如 CredSSP）。若需访问第三方资源，应在角色中显式允许调用带凭据的 cmdlet（如 Invoke-RestMethod），并由虚拟帐户本身持有最小必要权限；
- SSH 远程处理（HostName 参数）目前不支持 JEA，必须使用 WinRM（默认端口 5985/5986）；
- 角色功能文件应存放在模块路径下的 RoleCapabilities 文件夹里，且模块名需与 .pssc 中的 RoleDefinitions 字段匹配。
