非管理员本地账户远程关闭Windows Server权限问题求助

问题描述 #

为了安全考量，我在server1上创建了本地用户账户shutdowntest，并给它分配了本地安全策略里的「从远程系统强制关机」权限。现在想从另一台服务器用Sysinternals的psshutdown.exe远程关闭server1，执行的命令如下：

psshutdown \\server1 -u server1\shutdowntest -p pAsSw0rD -f /t 0

但执行后收到了权限拒绝的错误：

PsShutdown v2.6 - Shutdown, logoff and power manage local and remote systems

Copyright (C) 1999-2023 Mark Russinovich

Sysinternals - www.sysinternals.com

Couldn't access server1:

Access is denied.

If server1 is already performing a shutdown operation you must
abort it before issuing a different command.

想请教各位：server1\shutdowntest这个本地用户是不是还需要额外的权限才能完成远程关机？

我的解答 #

嗨，这个问题我之前碰到过，确实是权限配置不全导致的，除了「从远程系统强制关机」，你还需要给这个本地账户加上下面这个关键权限：

• 从网络访问此计算机：打开server1的本地安全策略，在「用户权限分配」里找到这个选项，把shutdowntest账户添加进去。因为psshutdown是通过SMB协议和远程服务器建立通信的，没有这个权限连基本的网络访问都无法完成，更别说执行关机命令了。

另外还有几个小排查点可以帮你快速定位问题：

1. 先试试用shutdowntest账户访问\\server1\c$或者其他共享文件夹，如果连共享都打不开，那肯定是网络访问权限没配对；
2. 检查server1的防火墙设置，确认445端口（SMB协议端口）是开放的，不然远程连接根本建立不起来；
3. 看看这个账户有没有被误加到「拒绝从网络访问此计算机」的列表里，要是在里面赶紧移除。

把「从网络访问此计算机」权限加上之后，再重新执行psshutdown命令，应该就能顺利完成远程关机了！

备注：内容来源于stack exchange，提问作者cordell452658