如何配置权限让管理员组标准用户通过PowerShell安装CA证书至LocalMachine Root

我需要通过PowerShell将CA证书安装到LocalMachine Root存储区，尝试用管理员组中的标准用户以提升权限运行以下脚本：

Import-PfxCertificate -Password (ConvertTo-SecureString -String 'certificatePassword' -AsPlainText -Force) -CertStoreLocation Cert:\LocalMachine\Root -FilePath 'filePath'

但运行时提示“访问被拒绝”，用预设的Windows管理员用户以提升权限运行则正常执行。

请问如何配置标准用户的权限以允许该操作？我需要通过API远程执行此操作，且不希望调用API的应用程序使用预设Windows管理员凭据。

更新内容 #

以下是管理员组标准用户的截图（[管理员组成员信息截图]），以及使用该用户凭据启动进程的C#代码：

参数说明：

• command = 上述PowerShell脚本
• adminUsername = 'Admin'
• adminPassword = '*****'
• domain = 'computername'

public static (bool, string) ExecuteCommand(string command, string adminUsername, string adminPassword, string domain = "")
{
    try
    {
        SecureString securePassword = new SecureString();
        foreach (char c in adminPassword)
        {
            securePassword.AppendChar(c);
        }

        // 创建PowerShell进程信息
        ProcessStartInfo processInfo = new ProcessStartInfo()
        {
            FileName = "powershell.exe",
            Arguments = $"-NoProfile -ExecutionPolicy Bypass -Command \"{command}\"",
            UseShellExecute = false, 
            RedirectStandardOutput = true,
            RedirectStandardError = true,
            RedirectStandardInput = false,
            CreateNoWindow = true,
            UserName = adminUsername,
            Password = securePassword,
            Domain = domain,
            Verb = "runas" 
        };

        using (Process process = new Process())
        {
            process.StartInfo = processInfo;
            process.Start();
            string standardOutput = process.StandardOutput.ReadToEnd();
            string errorOutput = process.StandardError.ReadToEnd();
            process.WaitForExit();

            if (!string.IsNullOrEmpty(errorOutput))
            {
                standardOutput += Environment.NewLine + "Error: " + errorOutput;
            }

            return (string.IsNullOrEmpty(errorOutput), standardOutput);
        }
    }
    catch (Exception ex)
    {
        return (false, $"PowerShell脚本执行错误: {ex.Message}");
    }
}

1. 配置LocalMachine\Root证书存储区权限 #

Windows默认仅允许内置管理员组（BUILTIN\Administrators）修改LocalMachine\Root存储区，管理员组的标准用户受UAC限制无法直接操作，需手动调整权限：

• 打开mmc.exe，添加“证书”管理单元，选择“计算机账户”→“本地计算机”
• 展开“证书(本地计算机)”→“受信任的根证书颁发机构”
• 右键点击“受信任的根证书颁发机构”，选择“属性”→“安全”标签
• 点击“编辑”，添加目标标准用户，授予写入和读取权限
• 确认保存设置

2. 修正C#代码的权限提升逻辑 #

代码中同时设置UserName/Password和Verb = "runas"存在冲突：当指定UserName时，Verb = "runas"不会生效（仅UseShellExecute = true时Verb才会触发UAC提升）。针对远程场景，可按以下方式调整：

• 保持UseShellExecute = false，确保已给目标用户配置好证书存储区的写入权限
• 额外给用户分配必要系统权限：打开secpol.msc→“本地策略”→“用户权限分配”，添加SeLoadDriverPrivilege权限给目标用户

3. 替代方案：使用CertUtil工具 #

用certutil替代PowerShell脚本，可减少权限适配问题，命令如下：

certutil -addstore -f root "filePath"

同样需要确保用户拥有证书存储区的写入权限。

内容的提问来源于stack exchange，提问作者AldaFalda