Windows Server 2022域环境下GPO计划任务执行PS1驱动脚本失败排查

一、错误日志位置 #

直接查看以下系统日志定位问题：

• 任务计划程序日志：事件查看器 -> 应用程序和服务日志 -> Microsoft -> Windows -> TaskScheduler -> Operational
  记录计划任务的启动状态、执行失败原因（如权限不足、脚本路径无法访问、执行超时等）。
• 组策略日志：事件查看器 -> 应用程序和服务日志 -> Microsoft -> Windows -> GroupPolicy -> Operational
  确认GPO推送计划任务的过程是否有报错，比如任务未成功部署到客户端。
• PowerShell执行日志：事件查看器 -> 应用程序和服务日志 -> Microsoft -> Windows -> PowerShell -> Operational
  捕获脚本执行时的PowerShell语法错误、权限限制等细节。

二、权限问题排查步骤 #

1. 计划任务运行账户权限验证
   • 确保域管理员账户在客户端拥有本地管理员权限（打印机驱动安装必须本地管理员权限，域管理员默认不一定有此权限，需手动添加）。
   • 检查账户对脚本及驱动文件所在的域共享文件夹是否有「读取/执行」权限，避免文件访问被拒绝。
   • 查看计划任务的「安全选项」：若设置为「用户登录时运行」，需确认账户在登录会话中能访问共享路径；若选「不管用户是否登录都要运行」，勾选「不存储密码，任务将以本地系统账户身份运行」时，需给共享文件夹添加「域计算机」组的读取权限，确保本地系统账户能访问域共享。
2. 驱动安装特殊权限检查
   • 在客户端运行whoami /priv命令，查看账户是否拥有SeLoadDriverPrivilege权限，该权限是Windows Server 2022安装打印机驱动的必要权限。
   • 若使用本地系统账户运行任务，可临时给驱动包路径添加「Everyone」读取权限，测试是否因权限不足导致失败。

三、脚本执行优化建议 #

1. 强制生成执行日志
   修改PS1脚本开头，添加强制日志输出逻辑，确保无论成败都能生成日志：

   $logPath = "C:\Windows\Temp\PrinterInstall_$(Get-Date -Format 'yyyyMMddHHmm').log"
   Start-Transcript -Path $logPath -Append -IncludeInvocationHeader
   # 原脚本的驱动安装代码
   # ...
   Stop-Transcript
   

   需保证运行账户对C:\Windows\Temp有写入权限。
2. 精准设置PowerShell执行策略
   在计划任务的「操作」中，将程序设为powershell.exe，参数指定为：

   -ExecutionPolicy Bypass -NoProfile -File "\\DomainShare\Scripts\Install-KonicaC287.ps1"
   

   -NoProfile避免加载用户配置文件导致的权限问题，-ExecutionPolicy Bypass仅针对当前脚本绕过执行策略，比全局放宽更安全。
3. 统一使用UNC路径
   脚本中所有涉及的驱动文件、依赖文件必须用域共享UNC路径（如\\DC01\PrinterDrivers\KonicaC287），禁止使用本地路径（GPO部署的任务无法识别客户端本地路径）。

四、其他排查点 #

• 确认计划任务的触发条件为「用户登录时」，且未设置仅特定用户/组触发的限制，测试用户需在触发范围内。
• 检查客户端本地组策略：计算机配置->管理模板->系统->任务计划程序->禁止任务计划程序创建任务是否被启用，若启用会阻止GPO部署的任务执行。

内容的提问来源于stack exchange，提问作者gray web