Windows服务器上PowerShell脚本无法运行，十有八九是执行策略（Execution Policy）在作祟。默认情况下，Windows Server的PowerShell执行策略被设置为Restricted，这意味着任何.ps1脚本文件都无法直接执行。要解决这个问题，最直接的办法就是通过Set-ExecutionPolicy命令修改执行策略，或者在当前会话中临时绕过限制。具体来说，你可以打开PowerShell管理员窗口，输入Set-ExecutionPolicy RemoteSigned，这样既允许运行本地脚本，又要求远程下载的脚本必须有数字签名，在安全性和便利性之间取得了平衡。如果你只是临时测试某个脚本，也可以用Set-ExecutionPolicy Bypass -Scope Process，这样只影响当前窗口，关闭后自动恢复默认限制。

很多运维人员在部署Windows Server时，第一次尝试运行自动化脚本就碰壁，报错信息通常是"无法加载文件，因为在此系统上禁止运行脚本"。这不是脚本本身有问题，而是Windows出于安全考虑，默认把PowerShell的执行策略锁死了。理解这一点非常重要，因为它是Windows Server安全体系的核心组成部分，目的是防止恶意脚本在服务器上悄无声息地执行。下面我会从原理、策略级别、具体操作、安全建议等多个维度，把这件事讲透。

什么是PowerShell执行策略

PowerShell执行策略本质上是一组规则，用来控制PowerShell如何加载和运行脚本文件（.ps1、.psm1等）。它不是一个防火墙，也不是杀毒软件，而是PowerShell引擎层面的一道门槛。当你双击一个.ps1文件或者在命令行输入脚本路径时，PowerShell会先检查当前的执行策略，如果策略不允许，就直接拒绝执行并抛出错误。

需要特别注意的是，执行策略只针对脚本文件。你在PowerShell交互模式下直接输入的命令（比如Get-Process、Stop-Service）不受执行策略限制。这也是为什么很多人困惑——明明在控制台里敲命令没问题，但运行脚本文件就报错。执行策略管的是"文件"，不是"命令"。

Windows Server默认执行策略是什么

不同版本的Windows Server默认策略有所不同。Windows Server 2016及更早版本，默认是Restricted，也就是完全禁止运行任何脚本。Windows Server 2019和2022开始，默认改成了RemoteSigned，这是一个相对宽松的策略。但如果你是从旧版本升级上来的，或者做了全新安装后手动调整过，很可能还是Restricted状态。

你可以用一条命令快速查看当前策略：

Get-ExecutionPolicy

如果返回Restricted，那就是问题所在。如果返回RemoteSigned或者Unrestricted，那脚本不能运行的原因可能在别处，比如脚本路径权限、文件被锁定、或者脚本本身有语法错误。

六种执行策略详解

PowerShell一共有六种执行策略，从最严格到最宽松排列如下：

第一种是Restricted，这是最严格的级别，不允许运行任何脚本文件，也不允许加载任何配置文件。这是Windows Server的安全底线。

第二种是AllSigned，要求所有脚本文件和配置文件都必须有受信任发布者的数字签名才能运行。即使是你自己写的脚本，也要先签名。适合对安全性要求极高的生产环境。

第三种是RemoteSigned，本地创建的脚本可以直接运行，但从网络下载的脚本必须有数字签名。这是目前最推荐的策略，兼顾了安全和日常运维的便利性。

第四种是Unrestricted，所有脚本都可以运行，但从网络下载的脚本会弹出警告提示。这个策略安全性较低，不建议在生产服务器上使用。

第五种是Bypass，完全不限制，什么脚本都能跑，也没有任何警告。这基本等于关掉了执行策略这道门，只适合临时调试。

第六种是Undefined，表示没有设置任何策略。在Windows客户端上，如果所有策略都被组策略禁用了，就会显示这个值。在服务器上很少出现。

如何修改PowerShell执行策略

修改执行策略需要以管理员身份运行PowerShell。右键点击PowerShell图标，选择"以管理员身份运行"，然后输入以下命令：

Set-ExecutionPolicy RemoteSigned

系统会提示你确认更改，输入Y或者A（全部确认）即可。如果你想改成其他策略，把RemoteSigned换成对应的名称就行。

如果你只是想临时绕过，不想永久修改策略，可以用作用域限定的方式：

Set-ExecutionPolicy Bypass -Scope Process

这条命令只对当前PowerShell窗口有效，关闭窗口后策略自动恢复原状。对于临时测试脚本来说，这是最安全的做法。

还有一种是针对当前用户的修改：

Set-ExecutionPolicy RemoteSigned -Scope CurrentUser

这样只影响当前登录用户，不会改变系统级别的设置。在多用户服务器上，这种方式比较稳妥。

通过组策略批量管理执行策略

如果你管理的是几十台甚至上百台Windows Server，一台台手动改执行策略显然不现实。这时候可以用组策略（Group Policy）来统一管控。打开组策略管理器（gpedit.msc或者通过域控的组策略管理控制台），导航到以下路径：

计算机配置 → 管理模板 → Windows组件 → Windows PowerShell

在右侧找到"打开脚本执行"策略，启用后选择你想要的策略级别。这样域内所有服务器都会自动应用统一的设置。对于企业级运维来说，这是标准操作流程。

需要注意的是，组策略的优先级高于本地设置。如果你本地设了RemoteSigned，但组策略强制设成了AllSigned，那最终生效的是AllSigned。排查问题时要考虑这个层级关系。

执行策略不是安全防线，别把它当万能药

这里必须说一个很多人的误区：执行策略不等于安全防护。它只是一个"君子协定"，防君子不防小人。任何懂PowerShell的人都可以用Bypass参数绕过执行策略来运行脚本，比如：

powershell -ExecutionPolicy Bypass -File C:\Scripts\test.ps1

看到了吗？执行策略在这里被直接覆盖了。所以如果你的服务器面临真正的安全威胁，光靠改执行策略是远远不够的。你还需要配合以下措施：启用Windows Defender的实时防护、配置AppLocker或Windows Defender Application Control（WDAC）、限制PowerShell的访问权限、启用脚本块日志记录（Script Block Logging）、开启PowerShell的约束语言模式（Constrained Language Mode）等。

特别是脚本块日志和约束语言模式，这两个是微软近年来重点推荐的安全加固手段。脚本块日志会把PowerShell执行的每一条命令都记录到事件日志里，方便事后审计。约束语言模式则把PowerShell的功能限制在一个安全子集内，很多危险操作直接不可用。

常见报错及排查思路

除了"禁止运行脚本"这个经典错误，你还可能遇到以下几种情况：

第一种是"文件无法加载，因为在此系统上禁止运行脚本"，这就是执行策略的问题，按上面的方法改策略就行。

第二种是"无法加载文件，因为在此系统上禁止运行脚本"但你已经改了策略还报错。这种情况通常是因为你改的是32位PowerShell的策略，但运行的是64位版本（或者反过来）。Windows Server上同时存在两个版本的PowerShell，它们的执行策略是独立的。你需要分别检查和设置。

# 查看64位PowerShell的策略
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -Command "Get-ExecutionPolicy"

# 查看32位PowerShell的策略
C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe -Command "Get-ExecutionPolicy"

第三种是脚本文件本身被Windows标记为"来自互联网"而被阻止。这是因为文件是从网上下载的，NTFS文件系统给它加了一个安全标记。解决方法是右键文件属性，点击"解除锁定"，或者用Unblock-File命令：

Unblock-File C:\Scripts\test.ps1

第四种是脚本执行了但中途报错，这通常是脚本内容本身的问题，比如权限不足、模块未安装、路径错误等，和执行策略无关。

生产环境的最佳实践建议

对于生产环境的Windows Server，我的建议是：默认保持RemoteSigned策略，不要图省事改成Unrestricted或Bypass。如果需要运行未签名的第三方脚本，先用代码签名证书对脚本进行签名，或者把脚本放在本地可信路径下。同时开启脚本块日志和转录功能，做到所有PowerShell操作可追溯。

另外，尽量使用PowerShell 7（跨平台版本）而不是内置的Windows PowerShell 5.1。PowerShell 7有更好的安全模型和更强的功能，而且执行策略的管理更加灵活。如果你的业务允许，升级到PowerShell 7是一个值得投入的方向。

最后提醒一点，修改执行策略本身也是一个需要记录的操作。在变更管理流程中，这应该被视为一次配置变更，需要有审批、有记录、有回滚方案。不要随意在生产服务器上改策略，尤其是不要在没有测试的情况下把策略改成Bypass。

总结

PowerShell执行策略是Windows Server安全体系中一个基础但重要的环节。Restricted策略导致脚本无法运行是最常见的问题，解决方案就是用Set-ExecutionPolicy命令切换到RemoteSigned或其他合适的策略。但要记住，执行策略只是安全的一环，不是全部。真正的服务器安全需要多层防御、日志审计、权限管控多管齐下。把执行策略理解透、用对地方，你的Windows Server运维效率和安全水平都会上一个台阶。