如何通过PowerShell用凭据注册Windows服务？Azure DevOps部署故障排查

问题背景 #

我正在搭建从Azure DevOps到Windows Server的Windows服务部署管道。原本使用命令SC CREATE myservice start=auto binpath=C:\ADOWindowsServices\myfolder\myservice.exe能成功注册服务，但出于安全考虑，我创建了专用服务用户，并在Azure DevOps中设置了名为WSPassword的密码变量（示例密码：U$9KKKLas!7U&t^a）。

修改命令后遇到两个问题：

1. 使用SC执行修改后的命令时，抛出PowerShell参数错误；
2. 改用sc.exe执行后，服务因登录失败无法启动，且Azure DevOps日志显示密码字符缺失。

具体错误信息 #

错误1：PowerShell别名冲突 #

修改后的命令：

SC CREATE myservice start=auto binpath=C:\ADOWindowsServices\myfolder\myservice.exe
          obj= "domain\user" password='$(WSPassword)'

执行时出现错误：

Set-Content : A positional parameter cannot be found that accepts argument 'binpath='. At line:1 char:1

• SC create myservice binpath= C:\ADOWindowsServices\myfolder\my ...
• CategoryInfo : InvalidArgument: (:) [Set-Content], ParameterBindingException
• FullyQualifiedErrorId : PositionalParameterNotFound,Microsoft.PowerShell.Commands.SetContentCommand

错误2：密码解析失败 #

改用sc.exe执行命令后，出现提示：服务因登录失败而无法启动，且Azure DevOps日志中显示密码的部分特殊字符丢失。

解决方案 #

1. 解决PowerShell别名冲突 #

在PowerShell环境中，sc是内置命令Set-Content的别名，这就是第一个错误的根源。必须使用完整的sc.exe调用服务控制工具，不能省略.exe后缀。

2. 正确处理带特殊字符的密码 #

密码包含$、&等PowerShell特殊字符，直接引用会导致解析异常或字符丢失，按以下步骤处理：

• 在Azure DevOps中，将WSPassword设置为保密变量，并勾选「允许在脚本中引用」选项；
• 使用双引号包裹密码参数，通过环境变量中转避免直接解析问题，推荐命令格式：

  # 先将Azure DevOps变量存入环境变量
  $env:SVC_PWD = "$(WSPassword)"
  # 执行sc.exe命令
  sc.exe CREATE myservice start=auto binpath="C:\ADOWindowsServices\myfolder\myservice.exe" obj="domain\user" password="$env:SVC_PWD"
  

• 若路径或用户名包含空格，必须用双引号包裹对应参数值，避免解析错误。

3. 验证服务用户权限 #

确保专用用户拥有以下权限：

• 对服务程序所在目录C:\ADOWindowsServices\myfolder的读取、执行权限；
• 在Windows本地安全策略中，添加该用户到「用户权限分配」→「作为服务登录」列表中。

关于参数空格的疑问 #

sc.exe命令中，参数名与值之间的空格不是必需的，例如obj=domain\user和obj= domain\user两种写法都能被识别。但如果参数值包含空格或特殊字符，必须用双引号包裹，否则会导致参数解析失败。

内容的提问来源于stack exchange，提问作者Enrico