如何在Windows任务计划中通过脚本调用需管理员权限的PowerShell脚本

针对你的需求，以下是三种经过验证的可行方案，覆盖不同场景的安全要求：

方案1：加密凭据存储+权限受限启动脚本 #

通过DPAPI加密存储管理员凭据，仅允许任务计划使用的普通域账户读取，避免明文暴露。

步骤1：预生成加密凭据文件（仅执行一次） #

# 弹出窗口输入管理员域账户凭据
$adminCred = Get-Credential -Message "输入管理员域账户凭据"
# 将凭据加密存储到指定路径（仅当前用户/机器可解密）
$adminCred | Export-Clixml -Path "C:\SecureStore\AdminCred.xml"
# 严格限制文件权限：仅允许任务计划使用的普通账户读取
icacls "C:\SecureStore\AdminCred.xml" /inheritance:r /grant "DOMAIN\TaskRunUser:(R)"

步骤2：任务计划调用的启动脚本（普通账户运行） #

# 读取加密凭据
$credPath = "C:\SecureStore\AdminCred.xml"
$adminCred = Import-Clixml -Path $credPath

# 启动目标高权限脚本（注意：-NoNewWindow带Credential会导致交互权限问题，改用Hidden）
$scriptPath = "C:\Scripts\TargetAdminScript.ps1"
$arguments = "-NoProfile -ExecutionPolicy Bypass -File `"$scriptPath`""
Start-Process -FilePath "powershell.exe" -ArgumentList $arguments -Credential $adminCred -WindowStyle Hidden -Wait

任务计划配置要点 #

• 常规选项：使用权限受限的普通域账户，勾选不管用户是否登录都要运行，不要勾选「最高权限运行」
• 操作配置：启动程序填powershell.exe，参数填-NoProfile -ExecutionPolicy Bypass -File "C:\Scripts\LauncherScript.ps1"

方案2：组管理服务账户(GMSA)（域环境最优解） #

GMSA是域环境下的安全账户，自动管理密码，无需手动存储凭据，适合长期运维场景。

步骤1：域控制器创建GMSA #

# 创建GMSA，指定允许检索密码的服务器组
New-ADServiceAccount -Name GMSA-TaskAdmin -DNSHostName gmsa-taskadmin.yourdomain.com -PrincipalsAllowedToRetrieveManagedPassword "DOMAIN\TaskServersGroup"
# 验证GMSA有效性
Test-ADServiceAccount GMSA-TaskAdmin

步骤2：目标服务器安装GMSA #

Install-ADServiceAccount GMSA-TaskAdmin

任务计划配置要点 #

• 常规选项：选择「此用户」，输入DOMAIN\GMSA-TaskAdmin$（注意末尾的$），勾选最高权限运行
• 操作直接调用目标脚本：程序/脚本填powershell.exe，参数填-NoProfile -ExecutionPolicy Bypass -File "C:\Scripts\TargetAdminScript.ps1"

方案3：修复你原有的方法 #

你之前的代码失败大概率是-NoNewWindow参数导致的权限冲突，调整后即可正常运行：

$scriptPath = "C:\Scripts\TargetAdminScript.ps1"
# 处理路径中的引号，避免空格解析错误
$arguments = "-NoProfile -ExecutionPolicy Bypass -File `"$($scriptPath.Replace('"','\"'))`""
# 移除-NoNewWindow，改用隐藏窗口，添加-Wait确保脚本执行完成
Start-Process -FilePath "powershell.exe" -ArgumentList $arguments -Credential $credential -WindowStyle Hidden -Wait

关键安全注意事项 #

• 加密凭据文件必须严格限制权限，仅允许任务运行账户读取
• GMSA无需维护密码，是域环境下最安全的选择
• 测试阶段可移除-WindowStyle Hidden，查看控制台输出排查错误

内容的提问来源于stack exchange，提问作者MirrahOH