Nicholas Qin1. 为什么我们需要WinRM服务？
在Windows Server 2019环境中，WinRM（Windows Remote Management）是一个经常被忽视但极其重要的组件。作为系统管理员，我最初接触WinRM是因为需要批量管理几十台服务器时遇到的困境。当时每台服务器都需要单独远程桌面连接，效率极低，直到发现了WinRM这个"隐藏的宝石"。
WinRM本质上是一个基于SOAP的协议，它允许我们通过HTTP或HTTPS远程执行PowerShell命令。想象一下，你坐在办公室就能同时重启所有服务器、检查磁盘空间、安装更新——这就是WinRM带来的便利。特别是在自动化运维场景中，它比传统的RDP（远程桌面协议）更加轻量级和高效。
注意：WinRM默认使用5985端口（HTTP）和5986端口（HTTPS），在启用前请确保防火墙已正确配置。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. Windows Server 2019上的WinRM安装与基础配置
2.1 检查WinRM服务状态
在开始配置前，我们首先需要确认WinRM服务的当前状态。打开PowerShell（建议以管理员身份运行），执行以下命令：
powershell复制Get-Service WinRM
如果服务状态显示"Running"，说明WinRM已经启用；如果是"Stopped"，则需要手动启动。对于从未配置过的服务器，更可能看到的是服务不存在，这时需要先安装WinRM功能。
2.2 安装WinRM功能组件
在Windows Server 2019中，WinRM作为"Windows远程管理"功能提供。安装步骤如下：
- 打开"服务器管理器"
- 点击"添加角色和功能"
- 在"功能"部分，勾选"Windows远程管理"
- 完成安装向导
或者使用PowerShell一键安装：
powershell复制Install-WindowsFeature -Name Windows-Remote-Management
安装完成后，服务不会自动启动，我们需要手动启用它。
2.3 基础服务配置
WinRM的基本配置可以通过以下PowerShell命令完成：
powershell复制winrm quickconfig
这个命令会：
- 启动WinRM服务
- 将服务设置为自动启动
- 创建监听器
- 配置防火墙规则
执行过程中，系统会提示你确认各项更改，按"Y"接受即可。
3. 高级安全配置与调优
3.1 启用HTTPS监听器
默认配置使用HTTP协议，这在生产环境中是不安全的。我们需要配置HTTPS监听器：
powershell复制$cert = New-SelfSignedCertificate -DnsName $env:COMPUTERNAME -CertStoreLocation Cert:\LocalMachine\My
New-Item -Path WSMan:\LocalHost\Listener -Transport HTTPS -Address * -CertificateThumbPrint $cert.Thumbprint -Force
这个命令会：
- 创建一个自签名证书（生产环境建议使用CA颁发的证书）
- 添加一个HTTPS监听器
- 绑定到所有IP地址
3.2 配置身份验证方式
WinRM支持多种身份验证方式，最常用的是Kerberos和CredSSP。配置方法如下：
powershell复制# 启用Kerberos认证
Set-Item -Path WSMan:\localhost\Service\Auth\Kerberos -Value $true
# 启用CredSSP认证（适用于双跳场景）
Enable-WSManCredSSP -Role Server
提示：CredSSP虽然方便，但存在安全风险，仅在必要时启用。
3.3 内存与连接数调优
对于高负载环境，可能需要调整WinRM的默认限制：
powershell复制# 增加内存限制
Set-Item -Path WSMan:\localhost\Shell\MaxMemoryPerShellMB -Value 1024
# 增加并发连接数
Set-Item -Path WSMan:\localhost\Service\MaxConcurrentOperationsPerUser -Value 50
4. 防火墙配置与网络考虑
4.1 防火墙规则配置
即使运行了winrm quickconfig，有时防火墙规则仍需要手动调整：
powershell复制# 允许HTTP流量
New-NetFirewallRule -DisplayName "Windows Remote Management (HTTP-In)" -Name "WinRMHTTP" -Profile Any -LocalPort 5985 -Protocol TCP
# 允许HTTPS流量
New-NetFirewallRule -DisplayName "Windows Remote Management (HTTPS-In)" -Name "WinRMHTTPS" -Profile Any -LocalPort 5986 -Protocol TCP
4.2 跨域访问配置
如果需要在域环境中跨域使用WinRM，需要配置信任关系：
powershell复制Set-Item -Path WSMan:\localhost\Client\TrustedHosts -Value "*.contoso.com" -Force
这个命令允许来自contoso.com域内所有主机的连接。
5. 常见问题排查与解决方案
5.1 连接被拒绝错误
错误现象：无法连接到WinRM服务，返回"连接被拒绝"。
排查步骤：
- 检查服务是否运行：
Get-Service WinRM - 检查监听器是否存在：
winrm enumerate winrm/config/listener - 检查防火墙规则：
Get-NetFirewallRule -Name WinRM*
5.2 身份验证失败
错误代码：0x8009030e
解决方案：
- 确认客户端和服务器时间同步（Kerberos对时间敏感）
- 检查SPN是否注册正确：
setspn -L <计算机名> - 尝试使用基本认证测试：
winrm set winrm/config/client/auth @{Basic="true"}
5.3 内存不足错误
错误信息：超出每个shell的内存限制。
解决方法：
powershell复制# 查看当前限制
Get-Item WSMan:\localhost\Shell\MaxMemoryPerShellMB
# 增加限制
Set-Item WSMan:\localhost\Shell\MaxMemoryPerShellMB -Value 2048
6. 实际应用场景与脚本示例
6.1 批量服务器管理
以下脚本演示如何通过WinRM在多台服务器上执行命令：
powershell复制$servers = "server1","server2","server3"
$cred = Get-Credential
foreach ($server in $servers) {
Invoke-Command -ComputerName $server -Credential $cred -ScriptBlock {
Get-Disk | Where-Object {$_.OperationalStatus -ne "Healthy"} | Format-Table
}
}
6.2 自动化部署
使用WinRM实现软件静默安装：
powershell复制$session = New-PSSession -ComputerName "TargetServer" -Credential $cred
Copy-Item -Path "C:\Installers\App.msi" -Destination "C:\Temp\" -ToSession $session
Invoke-Command -Session $session -ScriptBlock {
Start-Process "msiexec.exe" -ArgumentList "/i C:\Temp\App.msi /qn" -Wait
}
Remove-PSSession $session
6.3 监控与警报
定期检查磁盘空间并发送警报：
powershell复制$threshold = 90
$results = Invoke-Command -ComputerName $servers -ScriptBlock {
Get-Volume | Where-Object {$_.DriveType -eq "Fixed"} | Select-Object DriveLetter, @{Name="UsedPercent";Expression={[math]::Round(($_.SizeRemaining / $_.Size)*100,2)}}
}
$results | Where-Object {$_.UsedPercent -gt $threshold} | ForEach-Object {
Send-MailMessage -To "admin@contoso.com" -Subject "磁盘空间警报" -Body "服务器 $($_.PSComputerName) 的 $($_.DriveLetter) 盘空间不足: $($_.UsedPercent)%"
}
7. 安全最佳实践
7.1 证书管理
自签名证书仅适用于测试环境。生产环境应：
- 使用企业CA颁发证书
- 定期轮换证书
- 禁用弱加密算法：
powershell复制Set-Item -Path WSMan:\localhost\Service\AllowUnencrypted -Value $false
Set-Item -Path WSMan:\localhost\Service\Auth\Basic -Value $false
7.2 日志审计
启用详细日志记录：
powershell复制wevtutil set-log Microsoft-Windows-WinRM/Operational /enabled:true
wevtutil set-log Microsoft-Windows-WinRM/Analytic /enabled:true
7.3 限制访问
通过IP限制访问：
powershell复制# 只允许特定IP访问
Set-Item -Path WSMan:\localhost\Service\IPv4Filter -Value "192.168.1.100"
8. 性能优化技巧
8.1 会话复用
避免频繁创建新会话：
powershell复制$session = New-PSSession -ComputerName "Server1"
Invoke-Command -Session $session -ScriptBlock { /* 操作1 */ }
Invoke-Command -Session $session -ScriptBlock { /* 操作2 */ }
Remove-PSSession $session
8.2 并行执行
利用PowerShell 7的并行特性：
powershell复制$servers | ForEach-Object -Parallel {
Invoke-Command -ComputerName $_ -ScriptBlock {
# 远程操作
}
} -ThrottleLimit 10
8.3 输出优化
减少网络传输量：
powershell复制Invoke-Command -ComputerName "Server1" -ScriptBlock {
Get-Process | Select-Object Name, CPU, WorkingSet
} | Export-Csv -Path "C:\Reports\Processes.csv"
9. 与其他工具的集成
9.1 与Ansible集成
在Ansible中配置WinRM连接：
yaml复制[windows]
server1 ansible_host=192.168.1.100
[windows:vars]
ansible_user=admin
ansible_password=password
ansible_connection=winrm
ansible_winrm_transport=kerberos
9.2 与Docker集成
在Windows容器中使用WinRM：
dockerfile复制FROM mcr.microsoft.com/windows/servercore:ltsc2019
RUN winrm quickconfig -quiet
EXPOSE 5985
9.3 与Azure自动化集成
使用Azure Runbook管理本地服务器：
powershell复制$cred = Get-AutomationPSCredential -Name "OnPremCred"
Invoke-Command -ComputerName "onprem-server" -Credential $cred -ScriptBlock {
# 本地操作
}
10. 升级与迁移注意事项
10.1 从旧版本迁移
如果从Windows Server 2012 R2迁移到2019，注意：
- 备份现有配置：
winrm get winrm/config - 在新服务器上安装相同功能
- 恢复配置：
winrm set winrm/config @{MaxTimeoutms="1800000"}
10.2 兼容性考虑
WinRM 2.0与3.0的主要区别：
- 3.0支持更长的超时时间
- 改进了内存管理
- 增强的认证选项
10.3 禁用旧协议
禁用不安全的旧版协议：
powershell复制Set-Item -Path WSMan:\localhost\Service\AllowUnencrypted -Value $false
Disable-WSManCredSSP -Role Server