Comment résoudre l'erreur PowerShell 'L'exécution de scripts est désactivée sur ce système'

Avant de faire des modifications, vous devez comprendre la configuration actuelle de votre politique d'exécution PowerShell. PowerShell utilise plusieurs portées qui peuvent se remplacer mutuellement.

Ouvrez PowerShell en tant qu'administrateur en cliquant avec le bouton droit sur le bouton Démarrer et en sélectionnant "Windows PowerShell (Admin)" ou "Terminal (Admin)" sur Windows 11. Exécutez cette commande pour voir toutes les portées de politique :

Get-ExecutionPolicy -List

Cela affiche cinq portées par ordre de priorité :

• MachinePolicy : Défini par la stratégie de groupe (priorité la plus élevée)
• UserPolicy : Défini par la stratégie de groupe pour l'utilisateur actuel
• Process : Session PowerShell actuelle uniquement
• CurrentUser : Paramètre du registre pour l'utilisateur actuel
• LocalMachine : Paramètre du registre pour tous les utilisateurs (par défaut : Restreint)

Vérification : Recherchez "Restreint" dans la portée LocalMachine - c'est ce qui cause l'erreur. Si MachinePolicy ou UserPolicy affichent autre chose que "Indéfini", votre organisation contrôle les politiques via la stratégie de groupe.

Si vous devez exécuter un script immédiatement sans modifier les paramètres permanents, utilisez un contournement temporaire. Cela est parfait pour tester ou exécuter un script une seule fois.

Pour l'exécution d'un seul script, exécutez :

PowerShell -ExecutionPolicy Bypass -File .\script.ps1

Remplacez script.ps1 par le nom réel de votre script. Alternativement, pour contourner la politique uniquement pour votre session PowerShell actuelle :

Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

Cela vous permet d'exécuter plusieurs scripts dans la même session sans modifications permanentes.

Vérification : Exécutez Get-ExecutionPolicy pour confirmer qu'il affiche "Bypass". Ouvrez une nouvelle fenêtre PowerShell et exécutez la même commande - elle devrait afficher à nouveau "Restricted", prouvant que le changement était temporaire.

La solution permanente recommandée pour les utilisateurs individuels est de définir la politique RemoteSigned pour le scope CurrentUser. Cela permet aux scripts locaux de s'exécuter tout en exigeant des signatures numériques pour les scripts téléchargés.

Exécutez cette commande dans n'importe quelle fenêtre PowerShell (pas besoin de droits d'administrateur) :

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser

Lorsque vous y êtes invité, tapez Y et appuyez sur Entrée pour confirmer le changement. Cette politique :

• Permet aux scripts créés localement de s'exécuter sans signatures
• Exige des signatures numériques pour les scripts téléchargés depuis internet
• N'affecte que le compte utilisateur actuel
• Persiste à travers les sessions PowerShell et les redémarrages

Vérification : Exécutez Get-ExecutionPolicy -Scope CurrentUser pour confirmer qu'il affiche "RemoteSigned". Testez en créant un script simple :

echo 'Write-Host "Test successful!"' > test.ps1
.\test.ps1

Le script devrait s'exécuter sans erreurs.

Pour les administrateurs système qui doivent activer l'exécution de scripts pour tous les utilisateurs, définissez la portée LocalMachine. Cela nécessite des privilèges d'administrateur.

Ouvrez PowerShell en tant qu'administrateur et exécutez :

Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope LocalMachine

Confirmez avec Y lorsque vous y êtes invité. Ce changement affecte tous les utilisateurs du système et persiste dans le registre Windows à HKLM:\SOFTWARE\Microsoft\PowerShell\1\ShellIds\Microsoft.PowerShell.

Pour les organisations utilisant à la fois Windows PowerShell 5.1 et PowerShell 7.x, définissez les politiques pour les deux :

# Pour Windows PowerShell 5.1
powershell.exe -Command "Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope LocalMachine"

# Pour PowerShell 7.x
pwsh.exe -Command "Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope LocalMachine"

Vérification : Exécutez Get-ExecutionPolicy -List pour confirmer que LocalMachine affiche "RemoteSigned". Testez avec un autre compte utilisateur pour vous assurer que la politique s'applique à l'ensemble du système.

Même avec la politique RemoteSigned, les scripts téléchargés depuis internet peuvent toujours être bloqués en raison des zones de sécurité de Windows. Ces fichiers ont un flux de données alternatif qui les marque comme potentiellement dangereux.

Pour débloquer un fichier script spécifique :

Unblock-File -Path .\downloaded-script.ps1

Pour plusieurs fichiers dans un répertoire :

Get-ChildItem -Path .\Scripts\ -Recurse | Unblock-File

Vous pouvez également vérifier si un fichier est bloqué avant de le débloquer :

Get-Item .\script.ps1 -Stream Zone.Identifier -ErrorAction SilentlyContinue

Si cela renvoie des données, le fichier est marqué comme téléchargé et doit être débloqué.

Vérification : Après le déblocage, la vérification Zone.Identifier ne devrait renvoyer aucun résultat. Essayez d'exécuter le script précédemment bloqué - il devrait s'exécuter sans l'erreur "ne peut pas être chargé car l'exécution des scripts est désactivée".

Dans les environnements d'entreprise, la stratégie de groupe peut remplacer les paramètres de stratégie d'exécution locale. Si MachinePolicy ou UserPolicy affichent des valeurs autres que "Undefined", une intervention administrative est nécessaire.

Vérifiez le contrôle de la stratégie de groupe :

Get-ExecutionPolicy -List | Where-Object {$_.Scope -match "Policy" -and $_.ExecutionPolicy -ne "Undefined"}

Si la stratégie de groupe contrôle les stratégies d'exécution, vous avez ces options :

1. Contactez votre administrateur système pour modifier le paramètre de la stratégie de groupe
2. Utilisez le contournement de l'étendue du processus pour des besoins temporaires : Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process
3. Demandez une exception de politique pour votre compte utilisateur ou votre ordinateur

Pour les administrateurs gérant la stratégie de groupe :

1. Ouvrez gpedit.msc (Éditeur de stratégie de groupe locale) ou la console de gestion des stratégies de groupe
2. Accédez à Configuration de l'ordinateur > Stratégies > Modèles d'administration > Composants Windows > Windows PowerShell
3. Activez Activer l'exécution de scripts
4. Sélectionnez Autoriser les scripts locaux et les scripts signés à distance (équivalent à RemoteSigned)

Vérification : Après les modifications de la stratégie de groupe, exécutez gpupdate /force et redémarrez PowerShell. Vérifiez Get-ExecutionPolicy -List pour confirmer que le changement de politique a pris effet.

Tout en activant l'exécution de scripts, maintenez la sécurité en suivant les meilleures pratiques PowerShell. N'utilisez jamais de politiques trop permissives comme Unrestricted ou Bypass pour des paramètres permanents.

Hiérarchie des politiques recommandée :

Pour les environnements de production, envisagez de signer vos scripts :

# Obtenir un certificat de signature de code (nécessite une autorité de certification)
$cert = Get-ChildItem -Path Cert:\CurrentUser\My -CodeSigningCert

# Signer un script
Set-AuthenticodeSignature -FilePath .\script.ps1 -Certificate $cert

Surveillez les changements de politique d'exécution avec ce script de surveillance du registre :

# Vérifier les clés de registre de la politique d'exécution
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\PowerShell\1\ShellIds\Microsoft.PowerShell" -Name ExecutionPolicy -ErrorAction SilentlyContinue
Get-ItemProperty -Path "HKCU:\SOFTWARE\Microsoft\PowerShell\1\ShellIds\Microsoft.PowerShell" -Name ExecutionPolicy -ErrorAction SilentlyContinue

Vérification : Auditez régulièrement vos politiques d'exécution avec Get-ExecutionPolicy -List et assurez-vous qu'elles correspondent à vos exigences de sécurité.

Si l'erreur persiste après avoir modifié les politiques d'exécution, plusieurs facteurs peuvent interférer. Voici une approche systématique de dépannage.

Vérifiez les politiques conflictuelles :

# Analyse détaillée des politiques
foreach ($scope in @('MachinePolicy','UserPolicy','Process','CurrentUser','LocalMachine')) {
    $policy = Get-ExecutionPolicy -Scope $scope
    Write-Host "$scope`: $policy"
}

Vérifiez la version et l'édition de PowerShell :

$PSVersionTable

PowerShell 5.1 (Windows PowerShell) et PowerShell 7.x maintiennent des politiques d'exécution séparées. Si vous utilisez PowerShell 7.x, assurez-vous d'avoir défini les politiques pour la version correcte :

# Vérifiez quelle version de PowerShell vous utilisez
if ($PSVersionTable.PSVersion.Major -ge 7) {
    Write-Host "Exécution de PowerShell 7.x (pwsh.exe)"
} else {
    Write-Host "Exécution de Windows PowerShell 5.1 (powershell.exe)"
}

Effacez le cache de PowerShell et redémarrez :

# Effacer le cache des modules PowerShell
Remove-Item -Path "$env:LOCALAPPDATA\Microsoft\Windows\PowerShell\ModuleAnalysisCache" -Force -ErrorAction SilentlyContinue

Ensuite, redémarrez complètement PowerShell (fermez toutes les fenêtres et rouvrez).

Testez avec un script minimal :

# Créer et tester un script simple
'Write-Host "Test de la politique d'exécution réussi"' | Out-File -FilePath test-policy.ps1 -Encoding UTF8
.\test-policy.ps1

Vérification : Le script de test devrait s'exécuter sans erreurs. S'il échoue encore, vérifiez les journaux des événements Windows sous Applications et Services Logs > Microsoft > Windows > PowerShell > Operational pour des informations d'erreur détaillées.