如何通过PowerShell与流水线为特定Windows用户添加通用凭据

核心问题原因 #

GitHub Action、ADO等CI/CD的Windows runner默认以SYSTEM账户执行脚本，直接调用cmdkey或普通psexec会继承这个上下文，导致凭据存入SYSTEM的凭据管理器，而非目标用户。

可行解决方案 #

方法1：用runas切换用户执行cmdkey #

runas可直接以指定用户身份启动进程，CI环境中需通过PowerShell的Start-Process传递凭据，避免交互式弹窗。

示例PowerShell脚本：

# 定义参数（建议用CI/CD密钥存储敏感值）
$targetUser = "目标Windows用户名"
$userPassword = "目标用户密码"
$credName = "凭据名称"
$credUser = "凭据关联用户名"
$credPass = "凭据密码"

# 构建cmdkey命令
$cmdkeyCmd = "cmdkey /add /generic:$credName /user:$credUser /pass:`"$credPass`""

# 转换密码为安全格式，调用Start-Process切换用户执行
$securePwd = ConvertTo-SecureString $userPassword -AsPlainText -Force
$credential = New-Object System.Management.Automation.PSCredential ($targetUser, $securePwd)

Start-Process -FilePath "cmd.exe" -ArgumentList "/c $cmdkeyCmd" -Credential $credential -NoNewWindow -Wait

方法2：直接操作用户注册表项 #

Windows通用凭据存储在用户注册表HKCU\Software\Microsoft\Credentials路径下，SYSTEM账户可加载目标用户的注册表 hive 直接写入（需目标用户至少登录过一次，确保注册表文件存在）。

示例脚本：

$targetUser = "目标Windows用户名"
$credName = "凭据名称"
$credUser = "凭据关联用户名"
$credPass = "凭据密码"

# 获取目标用户SID
$userSID = (New-Object System.Security.Principal.NTAccount($targetUser)).Translate([System.Security.Principal.SecurityIdentifier]).Value
$hivePath = "C:\Users\$targetUser\NTUSER.DAT"
$tempHive = "TempUserHive"

# 加载用户注册表hive
reg load "HKU\$tempHive" $hivePath

# 生成唯一凭据GUID
$credGUID = [guid]::NewGuid().ToString("B")
$regPath = "HKU\$tempHive\Software\Microsoft\Credentials\$credGUID"

# 写入凭据注册表项
New-Item -Path $regPath -Force | Out-Null
Set-ItemProperty -Path $regPath -Name "Type" -Value 1 -Type DWord
Set-ItemProperty -Path $regPath -Name "Target" -Value $credName -Type String
Set-ItemProperty -Path $regPath -Name "UserName" -Value $credUser -Type String
Set-ItemProperty -Path $regPath -Name "Password" -Value (ConvertTo-SecureString $credPass -AsPlainText -Force | ConvertFrom-SecureString) -Type String

# 卸载注册表hive
reg unload "HKU\$tempHive"

方法3：CI动作切换用户上下文 #

部分社区动作可直接切换到目标用户执行后续步骤，以GitHub Action为例：

jobs:
  add-credential:
    runs-on: windows-latest
    steps:
      - name: 切换到目标用户
        uses: devlooped/setup-user@v1
        with:
          username: ${{ secrets.TARGET_USER }}
          password: ${{ secrets.TARGET_PASSWORD }}
      
      - name: 添加通用凭据
        run: cmdkey /add /generic:MyCredential /user:${{ secrets.CRED_USER }} /pass:${{ secrets.CRED_PASSWORD }}

注意事项 #

• 所有敏感信息（密码、用户名）必须用CI/CD的密钥管理功能（如GitHub Secrets）存储，禁止硬编码。
• 方法2需确保SYSTEM账户有权读取目标用户的NTUSER.DAT文件，默认权限满足需求，特殊场景需提前调整目录权限。
• runas方法必须通过Start-Process -Credential传递凭据，CI环境无桌面会话，交互式输入密码会直接失败。

内容的提问来源于stack exchange，提问作者bianconero