winrm是windows原生远程管理服务，需启用监听器、开放端口、配置信任关系才能使用；其安全限制涵盖身份验证方式、网络类型适配、uac令牌过滤及传输加密要求。
winrm 是 windows 系统原生的远程管理服务，不是附加软件，而是基于 ws-management 协议的底层服务。它默认已安装，但多数情况下未启用监听器、未开放端口、也未配置信任关系——这意味着“装好了”不等于“能用”。基础配置的核心是让服务运行、监听端口、放行防火墙、并建立可信通信路径；而安全限制则围绕身份验证方式、网络类型、权限边界和传输加密展开，不能只图连通，忽略策略约束。
服务启动与监听器配置
WinRM 服务在 Windows Server 2012+ 默认自动运行，在 Windows 10/11 或旧版系统中需手动启用。仅启动服务还不够，必须创建监听器才能接收请求。
- 以管理员身份运行 PowerShell，执行 winrm quickconfig（或简写 winrm qc）：自动启动服务、设为自动启动、创建 HTTP 监听器（绑定所有 IP 的 5985 端口）、添加对应防火墙规则
- 若需更可控的配置，可用 Enable-PSRemoting -Force：除完成 quickconfig 的动作外，还注册 PowerShell 会话配置、启用 NTLM/Kerberos 认证、设置默认会话选项，更适合生产环境
- 验证监听器是否生效：运行 winrm enumerate winrm/config/listener，应返回类似 Listener Address = * Transport = HTTP 的条目
防火墙与网络配置文件适配
Windows 防火墙按网络类型（域、专用、公用）应用不同规则。WinRM 默认只在域网络完全放开，在专用网络需显式允许，在公用网络则严格限制——这是关键安全限制，不可绕过。
- 检查当前网络配置文件：Get-NetConnectionProfile，确认是 Domain、Private 还是 Public
- 若为专用网络且 quickconfig 未生效，可手动添加入站规则：New-NetFirewallRule -Name "WinRM-HTTP" -DisplayName "WinRM HTTP" -LocalPort 5985 -Protocol TCP -Direction Inbound -Profile Private -Action Allow
- 公用网络下不建议启用 WinRM；如确有需要，必须明确指定源 IP 范围，避免全网开放：-RemoteAddress 192.168.10.0/24
身份验证与信任主机设置
WinRM 默认要求客户端被目标机器信任，尤其在工作组或非域环境中。NTLM 认证虽可用，但存在凭据转发风险；Kerberos 在域内更安全；Basic 认证必须配合 HTTPS 否则明文传输密码——这些是硬性安全限制。
- 非域环境连接时，需在客户端设置信任目标主机：winrm set winrm/config/client '@{TrustedHosts="192.168.1.100"}'（多个地址用逗号分隔，* 仅限测试）
- 启用 Basic 认证（仅限 HTTPS 场景）：winrm set winrm/config/service/auth '@{Basic="true"}'，同时确保监听器使用 Transport=HTTPS 且证书有效
- 禁用不安全认证方式（如 Digest）：winrm set winrm/config/service/auth '@{Digest="false"}'
UAC 限制与本地账户提权问题
即使管理员账户登录，Windows 默认通过 UAC 过滤本地账户令牌，导致远程会话权限降级——表现为“访问被拒绝”或无法修改系统级设置，这是常见却易被忽视的安全限制。
- 检查注册表项：reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy
- 若返回值为 0 或不存在，需设为 1 才允许远程管理员获得完整令牌：reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
- 该操作需重启 WinRM 服务生效：Restart-Service WinRM
