Hallo,
aus Sicherheitsgründen planen wir, bei Powershell das Constrained Language Mode zu aktivieren.
Hat diese Umstellung Auswirkungen auf die Softwareverteilung?
Vielen Dank für Eure Unterstützung!
Hallo @BATS ,
ja, sogar sehr gravierende: Wir hatten den 2024 einige Zeit aktiv und mussten ihn auf Clients wieder abschalten da die PSADT-Skripts nicht mehr gelaufen sind. Wir hatten damals auch Kontakt mit dem Support von neo42 dazu.
Evtl. ist das jetzt anders aber ich würde Dir empfehlen dass an einigen Clients vorab zu testen.
Ich denke der bessere Weg wäre aus meiner Sicht der AppLocker da hier die Signaturen eingebunden werden können; da sind wir jetzt dran.
Eine kurze Antwort oder Info von Neo hierzu wäre nett, das Thema beschäftigt mich derzeit auch.
Es ist noch nicht geplant das umzustellen, kommt aber mit Sicherheit demnächst als Anweisung von „Oben“ es zumindest zu prüfen.
Grüße,
Paketbote
Ich hatte den neo42support angefragt und folgende Antwort erhalten:
die Pakete auf Basis des "PSAppDeployToolkit"
sind nicht mit dem Constrained Language Modus kompatibel.
Es werden sowohl externe Typendefinitionen über C# geladen,
als auch COM-Objekte genutzt.
Diese sind für die Funktionalität des Toolkits zwingend notwendig.
Es betrifft dabei sowohl unsere Erweiterungen,
als auch die Erweiterungen des offiziellen "PSAppDeployToolkit".
Ein Weg den Constrained Language Modus zu nutzen, wäre,
die Pakete zu signieren und als Ausnahme zu deklarieren,
welches beispielsweise über AppLocker-Regeln möglich ist.
Auf Nachfrage nach Infos zur möglichen APC-Signierung wurde folgende Antwort gegeben:
ja, über das APC kann die Skriptsignierung automatisiert werden.
Anbei ein Link.
Unter dem Punkt Skriptsignierung finden Sie die gewünschten Informationen.
neo42 Leitfaden zur APD Einführung - neo42 Service Portal
<https://portal.neo42.de/Documentation/674834584c0539ebc80bf408>
Super, vielen lieben Dank!
Grüße,
Paketbote
Hallo,
auch ich hätte eine Rückfrage zu dem genannten vorgehen.
Unsere Pakete sind bereits alle Signiert über das APD. Bin aber im Zusammenhang mit Pwoershell jetzt nicht so tief drin.
Reicht es also den Constrained Language mode zu aktivieren und die signierten Scripte laufen, oder muss zusätzlich etwas gemacht werden?
Ist der AppLocker separat anzusehen oder wie läuft das ? Sorry aber hier stehe ich gerade bei 0 wissen ;-(
Danke
Hallo zusammen,
beim PSADT ist es so, dass das eigentliches Script die PSADT Module nachlädt, damit die dazugehörigen Befehle in den Paketen verwendet werden können.
Dies ist besonders für die Benutzerteile relevant. Also die Teile die im Benutzerkontext ausgeführt werden um Einstellungen in den Benutzerprofilen zu setzen.
Genau dieses laden der Module wird ja durch den Constrained Language Mode verhindert und die von uns verwendeten Befehle stehen können nicht genutzt werden. Die Pakete schlagen also fehl.
Wie bereits erwähnt wird auch durch Applocker der Constrained Language Mode gesetzt, allerdings mit dem Unterschied, dass signierte Scripte im Full Language Mode ausgeführt werden können.
Dies ist unsere Empfehlung, um die Rechner sicher zu konfigurieren und dennoch mit den Softwarepaketen arbeiten zu können.
Eine komplette Anleitung zur Scriptsignierung bis zur Applocker Konfiguration findet man in dieser Dokumentation: neo42 Service Portal
Ich hoffe das ich ein wenig weiterhelfen konnte.
Für weitere Rückfragen zu diesem Thema stehe ich gerne zur Verfügung.
Freundliche Grüße
Michael Deitermann