通过组策略统一启用WinRM服务需三步：一、设服务为自动启动；二、用PowerShell脚本（如winrm quickconfig）配置HTTP/HTTPS监听器；三、GPO防火墙规则放行5985/5986端口并限制源IP范围。
要在windows环境中通过组策略统一启用winrm服务以支撑自动化运维（如powershell remoting、ansible、dsc等），关键不是单独配置某台机器，而是利用域环境下的组策略对象（gpo）批量、持久、安全地完成服务启动、监听配置和防火墙放行。
确保WinRM服务已启用并设为自动启动
WinRM默认在多数Windows Server版本中已安装但处于手动启动状态，在桌面版（如Win10/11）中可能未启用。通过组策略可强制设定服务状态：
- 路径：计算机配置 → 策略 → Windows设置 → 安全设置 → 系统服务
- 找到Windows Remote Management (WS-Management)，双击打开
- 勾选“已启用”，启动类型设为“自动”，并勾选“对服务的更改立即生效”
- 注意：该设置仅控制服务状态，不配置监听器或认证方式，需配合后续策略
配置WinRM监听器与基础通信参数
仅启用服务不足以远程连接，必须部署HTTP/HTTPS监听器并开放端口。推荐使用WinRM脚本化配置（via GPO首选项或登录脚本），因原生GPO不直接提供监听器配置界面：
- 方法一（推荐）：在GPO中配置“计算机配置 → 首选项 → 控制面板设置 → 本地用户和组”，改用“启动程序”或“计划任务”执行一次性的PowerShell命令
- 典型命令示例：
winrm quickconfig -quiet（启用HTTP监听+防火墙规则）
或更安全的：
winrm set winrm/config @{AllowUnencrypted="false"; MaxTimeoutms="1800000"}
winrm create winrm/config/listener?Address=*+Transport=HTTPS @{"CertificateThumbprint"="..."} - 方法二：结合Startup Script（开机脚本），确保每次重启后监听器仍存在
开放防火墙端口并限制访问范围
WinRM默认使用5985（HTTP）或5986（HTTPS），必须显式放行。组策略可集中管理防火墙规则：
- 路径：计算机配置 → 策略 → Windows设置 → 安全设置 → Windows防火墙与高级安全
- 进入“入站规则”，新建规则 → 选择“端口” → TCP → 特定本地端口：5985,5986
- 建议设置“作用域”：只允许来自运维管理网段（如192.168.10.0/24）的IP访问，提升安全性
- 若已运行winrm quickconfig，它会自动创建规则，但无法指定源IP——务必用GPO覆盖或补充精细化规则
启用可信主机（仅适用于HTTP + 工作组/非域场景）
在非域环境下（如多台工作组Windows机器），PowerShell Remoting默认拒绝来自非本地的连接。可通过GPO下发客户端配置：
- 路径：计算机配置 → 首选项 → Windows设置 → 注册表
- 新增注册表项：
HKLM\SOFTWARE\Policies\Microsoft\Windows\WinRM\Client\TrustedHosts
值类型：REG_SZ，数据填入允许的IP列表，如：192.168.10.100,192.168.10.101（逗号分隔，支持*但不推荐） - 注意：此设置仅对WinRM客户端有效（即发起远程命令的机器），且仅在使用HTTP+Basic认证时必要；域环境下应优先使用Kerberos，无需配置TrustedHosts
