域管理员组用户GPO Powershell网络驱动器映射失效排查

问题核心原因 #

管理员组用户受UAC（用户账户控制）权限隔离限制：GPO登录脚本默认在**高权限（elevated）上下文执行，而用户日常打开的PowerShell/文件管理器处于普通权限（non-elevated）**上下文。这两个上下文的PSDrive是完全隔离的，因此高权限会话中挂载的驱动器，在普通权限会话中无法被看到——日志显示挂载成功是因为脚本确实在高权限环境下执行了，但用户操作的是普通权限环境。

解决方案 #

1. 修改脚本，强制在普通权限上下文执行映射 #

通过启动普通权限的PowerShell进程执行映射逻辑，绕过权限隔离。示例脚本如下：

$logPath = "C:\temp\map-drives.log"
"[$(Get-Date)] 启动驱动器映射脚本" | Out-File $logPath -Append

# 定义普通权限下的映射逻辑
$mapLogic = {
    # 加载预存的加密凭据（建议提前用Export-Clixml加密存储，避免明文）
    $nonDomainCred = Import-Clixml -Path "C:\secure\non-domain-cred.xml"
    # 映射非域共享
    New-PSDrive -Name "Z" -PSProvider FileSystem -Root "\\server\non-domain-share" -Credential $nonDomainCred -Persist
    # 映射域内共享
    New-PSDrive -Name "X" -PSProvider FileSystem -Root "\\domain-server\domain-share" -Persist
}

# 以普通权限启动PowerShell执行映射
Start-Process powershell.exe -ArgumentList "-NoProfile -ExecutionPolicy Bypass -Command & {$mapLogic}" -Verb RunAsUser -Wait

"[$(Get-Date)] 脚本执行完成" | Out-File $logPath -Append

说明：-Verb RunAsUser 需要PowerShell 5.1及以上版本支持，若需预存凭据，可使用 Get-Credential | Export-Clixml -Path "路径" 生成加密文件，仅当前用户可解密。

2. 改用传统批处理登录脚本（替代方案） #

传统批处理登录脚本默认以普通权限执行，不会触发UAC隔离问题，示例：

@echo off
echo %date% %time% 开始映射驱动器 >> C:\temp\map-drives.log
# 映射非域共享（建议用cmdkey预存凭据，避免明文密码）
cmdkey /add:server /user:非域用户名 /pass:非域密码
net use Z: \\server\non-domain-share /persistent:yes
# 映射域共享
net use X: \\domain-server\domain-share /persistent:yes
echo %date% %time% 映射完成 >> C:\temp\map-drives.log

注意：明文存储密码存在安全风险，可提前通过cmdkey命令在客户端预存凭据。

3. 禁用UAC虚拟化（不推荐） #

仅在测试环境或特殊场景下使用，此操作会降低系统安全级别：

• 打开本地组策略编辑器（gpedit.msc）
• 导航至 计算机配置 > Windows设置 > 安全设置 > 本地策略 > 安全选项
• 将 用户账户控制: 启用管理员批准模式 设置为已禁用
• 将 用户账户控制: 管理员批准模式中管理员的提升提示行为 设置为不提示，直接提升

验证方法 #

脚本执行后，分别打开普通权限和高权限的PowerShell窗口，运行Get-PSDrive，确认驱动器在普通权限窗口中可见，即为配置成功。

内容的提问来源于stack exchange，提问作者HammerOfSweden