Windows 11中Invoke-Command调用DC执行repadmin /syncall失败问题排查

现有两台全新安装的设备：Windows 10 22H2和Windows 11 23H2，二者均加入域、位于同一OU、应用相同GPO（无WMI筛选）。

• 以域管理员账号登录Windows 10，在管理员权限的PowerShell中执行命令：

  invoke-command DomainController {repadmin /syncall}
  

  可正常同步所有域控制器（DC）。
• 但在Windows 11上执行相同命令时，反复出现如下错误：

  Syncing partition: DC=DomainDnsZones,DC=contoso,DC=com
  
  CALLBACK MESSAGE: Error contacting server CN=NTDS Settings,CN=CONTOSODC,CN=Servers,CN=CON,CN=Sites,CN=Configuration,DC=contoso,DC=com (network error): 5 (0x5):
      Access is denied.
  

两台设备的PowerShell执行策略一致：MachinePolicy: Undefined; UserPolicy: Undefined; Process: Undefined; CurrentUser: Undefined; LocalMachine: Unrestricted，均以管理员权限运行PowerShell，且已通过组策略禁用UAC。

Windows 10的$PSVersionTable信息：

PSVersion                      5.1.19041.3930
PSEdition                      Desktop
PSCompatibleVersions           {1.0, 2.0, 3.0, 4.0...}
BuildVersion                   10.0.19041.3930
CLRVersion                     4.0.30319.42000
WSManStackVersion              3.0
PSRemotingProtocolVersion      2.3
SerializationVersion           1.1.0.1

Windows 11的$PSVersionTable信息：

PSVersion                      5.1.22621.2506
PSEdition                      Desktop
PSCompatibleVersions           {1.0, 2.0, 3.0, 4.0...}
BuildVersion                   10.0.22621.2506
CLRVersion                     4.0.30319.42000
WSManStackVersion              3.0
PSRemotingProtocolVersion      2.3
SerializationVersion           1.1.0.1

补充测试结果：

• 直接登录DC执行repadmin /syncall可正常运行；
• 两台设备上执行其他invoke-command DomainController {脚本或命令}均正常，仅repadmin命令出现异常；
• 尝试指定repadmin完整路径执行，结果依旧：Windows 10正常，Windows 11报错。

• 检查Kerberos身份验证差异：在Windows 11上执行klist purge清除现有Kerberos票据，重新获取后重试命令；对比两台设备的Kerberos策略（如票据加密类型、有效期），确认是否存在GPO或系统默认配置差异。
• 验证远程会话的身份上下文：在远程会话中执行whoami /all，对比Windows 10和11的输出，检查域管理员组的SID、权限标识是否完整一致，排除身份令牌在远程会话中被过滤的可能。
• 查看DC的安全日志：在目标DC上检查安全事件日志（事件ID 4625、4672等），定位Windows 11发起repadmin请求时被拒绝的具体原因，比如是否是特定权限缺失或身份验证失败。
• 测试repadmin的参数与分区限制：尝试在Windows 11上执行更具体的repadmin命令，比如invoke-command DomainController {repadmin /syncall /d /e}或仅同步单个分区，排查是否是/syncall参数或特定分区的权限问题；同时执行repadmin /showrepl验证基本连通性。
• 对比系统补丁差异：检查Windows 11与Windows 10的已安装补丁，重点关注PowerShell远程、Active Directory相关的更新，某些补丁可能改变了远程命令执行的权限模型。
• 检查PowerShell远程会话配置：在两台设备上分别执行Get-PSSessionConfiguration，对比Microsoft.PowerShell等会话配置的权限设置，确认Windows 11是否存在额外的限制策略。
• 确认UAC禁用的实际生效状态：在Windows 11上执行reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA，确认值为0；同时检查HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\LocalAccountTokenFilterPolicy是否设置为1，避免远程访问时的权限过滤。

内容的提问来源于stack exchange，提问作者Alessandro