PowerShell域加入脚本加密密码方案咨询（原方案失效）

我编写了一个PowerShell脚本用于自动化客户端安装，其中包含域加入环节。目前正在推行Admin Tiering，需要将客户端域加入权限分配给特定服务账户，替换原脚本中的域管理员凭据以实现无交互执行。但脚本从U盘运行，担心U盘丢失导致密码泄露，因此不想在ps1文件中存储明文密码。之前尝试过以下方案但无效：

# 将明文密码转换为SecureString
$SecurePassword = ConvertTo-SecureString "YourPlainTextPasswordHere" -AsPlainText -Force

# 将SecureString转换为加密字符串并存储
$EncryptedPassword = $SecurePassword | ConvertFrom-SecureString

# 输出加密后的密码（复制此字符串用于脚本）
$EncryptedPassword

# 设置域、服务账户凭据和计算机名称
$domain = "yourdomain.local"
$serviceAccount = "domain\serviceAccount"
$computerName = $env:COMPUTERNAME

# 加密后的密码字符串（之前复制的内容）
$encryptedPassword = "YourEncryptedPasswordHere"

# 解密密码
$securePassword = $encryptedPassword | ConvertTo-SecureString

# 使用服务账户和解密后的密码创建PSCredential对象
$credential = New-Object System.Management.Automation.PSCredential($serviceAccount, $securePassword)

# 加入域
Add-Computer -DomainName $domain -Credential $credential -Restart -Force

Write-Host "Computer successfully joined the domain and will restart now."

可行解决方案 #

1. 修复DPAPI加密方案（指定自定义密钥） #

原方案无效是因为默认ConvertFrom-SecureString用当前用户/机器的DPAPI加密，换环境就无法解密。可以通过自定义AES密钥实现跨机器解密：

• 步骤1：生成并保存AES密钥（仅在安全环境执行）

# 生成AES密钥
$AesKey = New-Object System.Security.Cryptography.AesManaged
$AesKey.GenerateKey()
# 转换为Base64字符串，保存到安全的域共享（绝对不能放U盘）
$KeyBase64 = [Convert]::ToBase64String($AesKey.Key)
$KeyBase64 | Out-File "\\DomainController\SecureShare\AESKey.txt" -Force

• 步骤2：用密钥加密服务账户密码

$SecurePassword = ConvertTo-SecureString "服务账户明文密码" -AsPlainText -Force
# 用AES密钥加密密码
$EncryptedPassword = $SecurePassword | ConvertFrom-SecureString -Key $AesKey.Key
# 复制此加密字符串到U盘脚本中
$EncryptedPassword

• 步骤3：修改U盘内的脚本

$domain = "yourdomain.local"
$serviceAccount = "domain\serviceAccount"
$computerName = $env:COMPUTERNAME

# 加密后的密码字符串
$encryptedPassword = "替换为步骤2生成的加密字符串"
# 从安全共享读取AES密钥
$AesKey = [Convert]::FromBase64String((Get-Content "\\DomainController\SecureShare\AESKey.txt" -Raw))

# 解密密码
$securePassword = $encryptedPassword | ConvertTo-SecureString -Key $AesKey

$credential = New-Object System.Management.Automation.PSCredential($serviceAccount, $securePassword)
Add-Computer -DomainName $domain -Credential $credential -Restart -Force

Write-Host "计算机已成功加入域，即将重启。"

关键注意：AES密钥必须存储在客户端能访问但外人无法获取的安全位置，比如权限严格的域共享，绝对不能和脚本一起放在U盘里。

2. 基于域权限的无凭据方案（推荐） #

完全不需要在脚本里存储任何凭据，通过域配置实现：

• 在域控制器的AD用户和计算机中，打开域属性→安全→高级，添加服务账户并授予创建计算机对象权限（这就是"添加工作站到域"的核心权限）。
• 或者通过组策略配置：计算机配置→管理模板→系统→组策略→启用"允许计算机使用本地系统账户加入域"。
• 修改后的脚本可以简化为：

$domain = "yourdomain.local"
Add-Computer -DomainName $domain -Restart -Force
Write-Host "计算机已成功加入域，即将重启。"

这个方案最安全，完全依赖域权限体系，没有任何密码泄露风险。

3. 云密钥管理方案（适用于Azure环境） #

如果企业使用Azure，可以将服务账户密码存储在Azure Key Vault中，脚本运行时从Vault获取：

# 确保客户端已安装Az模块，且机器已配置托管身份并拥有Vault访问权限
Connect-AzAccount -Identity
$secret = Get-AzKeyVaultSecret -VaultName "你的Vault名称" -Name "ServiceAccountPassword"
$securePassword = $secret.SecretValue

$credential = New-Object System.Management.Automation.PSCredential($serviceAccount, $securePassword)
Add-Computer -DomainName $domain -Credential $credential -Restart -Force

需要提前给客户端机器分配Key Vault的读取权限，确保脚本能无交互获取密钥。

内容的提问来源于stack exchange，提问作者Nerdoctave