PowerShell重复禁用UpdateOrchestrator\Reboot计划任务时icacls报错求助

问题背景 #

系统中存在UpdateOrchestrator\Reboot计划任务，当安装微软补丁进入「pending reboot」状态时，该任务会在非工作时间自动重启系统，可能引发严重业务问题，因此需要禁用该任务。

首次运行PowerShell脚本可成功禁用任务，但再次运行时触发icacls错误（错误码5，拒绝访问），推测是任务已禁用后，SYSTEM账户对任务文件的权限已被限制，导致无法重复执行权限修改命令。

原脚本 #

$ScheduledTaskPath = $Env:windir + "\System32\Tasks\Microsoft\Windows\UpdateOrchestrator\Reboot" 

if (Test-Path $ScheduledTaskPath) 
{ 
    Disable-ScheduledTask -TaskName "\Microsoft\Windows\UpdateOrchestrator\Reboot" 

    # Denying permissions on the SYSTEM account 
    & icacls.exe $ScheduledTaskPath /deny SYSTEM:f 
} 
Else 
{ 
    Write-output "No reboot task found"
} 

重写脚本后的新错误 #

重写脚本后仍报错，错误提示：

No MSFT_ScheduledTask objects found with property 'TaskName' equal to "\Microsoft\Windows\UpdateOrchestrator\Reboot" Verify the value of the property and retry.

重写后的脚本：

$ScheduledTaskPath = $Env:windir + "\System32\Tasks\Microsoft\Windows\UpdateOrchestrator\Reboot"

if ((Test-Path $ScheduledTaskPath) -and (Get-ScheduledTask -TaskName "\Microsoft\Windows\UpdateOrchestrator\Reboot").State -ne 'disabled')
{
    Disable-ScheduledTask -TaskName "\Microsoft\Windows\UpdateOrchestrator\Reboot"

    # Denying permissions on the SYSTEM account
    & icacls.exe $ScheduledTaskPath /deny SYSTEM:f
}
Else
{
    Write-output "No reboot task found"
}

错误原因分析 #

1. 原脚本问题：只要任务文件路径存在就执行icacls命令，未判断任务是否已被禁用。当任务已禁用且权限已修改后，再次执行icacls /deny会因权限不足触发错误码5。
2. 重写脚本问题：Get-ScheduledTask的-TaskName参数仅需任务名称（即Reboot），完整路径应通过-TaskPath参数指定（即\Microsoft\Windows\UpdateOrchestrator\），否则会无法匹配到任务对象。

优化后的脚本 #

# 定义任务路径和名称
$taskPath = "\Microsoft\Windows\UpdateOrchestrator\"
$taskName = "Reboot"
$ScheduledTaskFile = $Env:windir + "\System32\Tasks\Microsoft\Windows\UpdateOrchestrator\Reboot"

# 尝试获取任务对象
try {
    $task = Get-ScheduledTask -TaskPath $taskPath -TaskName $taskName -ErrorAction Stop
}
catch {
    Write-Output "计划任务 $taskPath$taskName 不存在"
    exit 0
}

# 检查任务状态是否未禁用
if ($task.State -ne 'Disabled') {
    # 禁用任务
    Disable-ScheduledTask -InputObject $task | Out-Null
    Write-Output "已成功禁用计划任务 $taskPath$taskName"

    # 执行权限修改，捕获错误避免告警
    try {
        & icacls.exe $ScheduledTaskFile /deny SYSTEM:F /Q
        if ($LASTEXITCODE -eq 0) {
            Write-Output "已成功拒绝SYSTEM账户对任务文件的完全控制权限"
        }
        else {
            Write-Warning "修改权限时出现异常，退出码: $LASTEXITCODE"
        }
    }
    catch {
        Write-Warning "执行icacls命令时发生错误: $_"
    }
}
else {
    Write-Output "计划任务 $taskPath$taskName 已处于禁用状态，无需操作"
}

脚本说明 #

• 通过Get-ScheduledTask直接获取任务对象，避免仅检查文件路径导致的误判（比如文件存在但任务已被删除）
• 正确使用-TaskPath和-TaskName参数匹配任务，解决找不到任务对象的问题
• 仅在任务未禁用时执行禁用和权限修改操作，避免重复执行引发错误
• 捕获icacls命令的执行结果，用警告而非错误输出，减少不必要的告警邮件
• 提供清晰的输出信息，明确当前操作状态

内容的提问来源于stack exchange，提问作者GregFoobar