PowerShell调用GPG解密文件：任务计划执行异常求助

原GPG命令转Start-Process写法 #

将原脚本中直接调用gpg.exe的代码，替换为以下Start-Process实现，确保参数被正确解析并以管理员权限运行：

# 构建GPG完整参数列表
$gpgArgs = @(
    "-v",
    "--batch",
    "--pinentry-mode=loopback",
    "--passphrase", "$PassPhrase",
    "-d",
    "-o", $OutPut,
    $file.FullName
)

# 以管理员权限启动GPG，等待执行完成后再继续
Start-Process -FilePath "C:\Program Files (x86)\GnuPG\bin\gpg.exe" `
    -ArgumentList $gpgArgs `
    -Verb RunAs `
    -Wait `
    -NoNewWindow

核心参数说明 #

• -ArgumentList：将原命令的所有参数按顺序存入数组，避免因路径含空格或特殊字符导致解析错误
• -Verb RunAs：触发UAC权限提升，确保进程以管理员身份运行
• -Wait：等待GPG解密完成后再执行后续逻辑，避免提前检查文件状态
• -NoNewWindow：不在新窗口启动GPG，便于统一日志管理

额外优化与排查要点 #

1. 任务计划配置调整
   • 在任务“常规”选项卡中，勾选“不管用户是否登录都要运行”，并确保所选账户拥有E:\BannerAWS\SAPConcur目录及GPG安装路径的读写权限
   • 直接勾选“使用最高权限运行”，比脚本内调用RunAs更稳定，避免重复触发UAC弹窗
2. GPG密钥环路径适配
   • 不同用户上下文（如系统账户、普通用户）的GPG密钥存储路径不同，若任务用系统账户运行，需通过--homedir指定密钥目录：

     $gpgArgs = @(
         "--homedir", "C:\Users\你的管理员账户\AppData\Roaming\gnupg",
         # 其他参数...
     )
     

3. 密码变量安全传递
   • 避免明文存储$PassPhrase，改用PowerShell凭据管理器存储密码，确保任务计划能正确读取
4. 日志增强排查
   • 给GPG添加日志参数，方便定位失败原因：

     $gpgArgs += "--log-file", "C:\Scripts\gpg-decrypt.log"
     

5. 脚本语法修正
   • 原日志行Write-Log "Beginning Decrpytion on $Files.Count"会输出错误格式，修正为Write-Log "Beginning Decryption on $($Files.Count) files"，确保正确显示文件数量

修改后的完整循环片段 #

ForEach ($file in $Files) 
{
    $OutPut = $file.fullname.SubString(0, $File.FullName.length -4)
    Copy-Item -Path $file.fullname -Destination $BackUpGPG 

    # 替换原GPG调用为Start-Process版本
    $gpgArgs = @(
        "-v",
        "--batch",
        "--pinentry-mode=loopback",
        "--passphrase", "$PassPhrase",
        "--log-file", "C:\Scripts\gpg-decrypt.log",
        "-d",
        "-o", $OutPut,
        $file.FullName
    )

    Start-Process -FilePath "C:\Program Files (x86)\GnuPG\bin\gpg.exe" `
        -ArgumentList $gpgArgs `
        -Verb RunAs `
        -Wait `
        -NoNewWindow

    if (Test-Path $OutPut) 
    {
        Write-Log "Deleting File $($file.Name)" 
        Remove-Item $file.fullname
        Write-Log "Copying Decrypted File to Archive."  
        Copy-Item -Path $OutPut -Destination "E:\BannerAWS\SAPConcur\archiveproductiontest\"
    }
    Else
    {   
        Write-Log "Decrypted File was never created for $($file.Name). Check C:\Scripts\gpg-decrypt.log for details."
    }
}

内容的提问来源于stack exchange，提问作者Josh Verdin