如何在PowerShell脚本中嵌入Entra管理员凭据简化UAC提示？

首先明确：绝对不建议在脚本中嵌入管理员明文凭据，这会直接导致管理员权限泄露，带来严重的安全风险——无论是本地存储还是脚本硬编码，都属于高危操作。以下是几种安全可行的替代方案：

方案1：通过组策略配置UAC白名单（推荐） #

• 打开本地组策略编辑器（gpedit.msc），导航到计算机配置 > 管理模板 > Windows组件 > 用户账户控制 > 管理审批模式下管理员的提升提示行为
• 将其设置为"仅在安全桌面上提示同意"，普通用户触发权限提升时只需点击"是"，无需输入凭据（前提是该用户已被授权允许执行提升操作）
• 可额外配置UAC: 允许UIAccess应用程序在不使用安全桌面的情况下提示提升，针对你的清理脚本添加白名单，避免每次跳转安全桌面的繁琐操作

方案2：使用计划任务以高权限运行脚本 #

• 创建新计划任务，在安全选项中勾选"使用最高权限运行"
• 触发器可设置为"用户登录时自动执行"，或创建手动触发的快捷方式供终端用户调用
• 操作选择启动PowerShell，参数设置为-File "你的脚本完整路径"
• 用户触发该任务时，只会看到UAC确认提示（点击"是"即可），无需输入管理员凭据

方案3：使用本地管理员密码解决方案（LAPS） #

• 针对Entra加入的设备部署LAPS，它会自动管理本地管理员密码并定期轮换
• 脚本可通过LAPS API临时获取管理员密码执行高权限操作，无需硬编码凭据，安全性大幅提升

不推荐的高风险方案 #

• 降低UAC级别到"从不通知"：会完全关闭UAC校验，任何程序都能自动获取管理员权限，极大增加设备被恶意攻击的概率
• 硬编码凭据到脚本：无论明文还是加密存储，都存在被破解的可能，一旦泄露会导致全设备权限失控

内容的提问来源于stack exchange，提问作者MrDarcy