PowerShell中ProtectedData.Unprotect控制台失效但ISE正常问题求助

我编写了VA-EncryptPassword和VA-DecryptPassword两个PowerShell函数用于密码加解密，代码如下：

function VA-EncryptPassword {
    param(
        [Parameter(Mandatory=$true)]
        [string]$PlainPassword
    )

    # Add assembly for security
    Add-Type -AssemblyName "System.Security"

    # Convert password string to a byte array
    $PlainPasswordBytes = [System.Text.Encoding]::Unicode.GetBytes($PlainPassword)

    # Encrypt the password (machine-specific)
    $EncryptedPassword = [System.Security.Cryptography.ProtectedData]::Protect($PlainPasswordBytes, $null, [System.Security.Cryptography.DataProtectionScope]::LocalMachine)

    # Optionally, convert the byte array to Base64 for easier storage or transmission
    $Encrypted64Password = [Convert]::ToBase64String($EncryptedPassword)

    # Return the Base64 encrypted password
    $Encrypted64Password
}

function VA-DecryptPassword {
    param(
        [Parameter(Mandatory=$true)]
        [string]$Encrypted64Password
    )

    # Add assembly for security
    Add-Type -AssemblyName System.Security
    Add-Type -AssemblyName System.Text.Encoding

    # Convert the Base64 encrypted password back to a byte array
    $EncryptedPasswordBytes = [Convert]::FromBase64String($Encrypted64Password)

    # Decrypt the password using DPAPI
    $DecryptedPasswordBytes = [System.Security.Cryptography.ProtectedData]::Unprotect($EncryptedPasswordBytes, $null, [System.Security.Cryptography.DataProtectionScope]::LocalMachine)

    # Convert byte array back to a string
    $DecryptedPassword = [System.Text.Encoding]::Unicode.GetString($DecryptedPasswordBytes)

    # Return the decrypted password
    $DecryptedPassword
}

异常情况 #

该函数在多数服务器上运行正常，但有2台服务器出现以下异常：

• PowerShell ISE中可正常完成加解密操作
• 控制台及计划任务中无法解密（控制台可正常加密）
• 解密时错误信息：调用"Unprotect"时使用3个参数出现异常: "操作已成功完成"，疑似返回结果为空

已排查环境变量、$Profile、服务器功能、运行权限、.NET Framework/Core版本及PowerShell版本（均为5.xx且一致），仍未找到原因。

可能的原因及解决方案 #

1. DPAPI会话上下文差异 #

DPAPI的LocalMachine范围依赖机器级密钥，但非交互式会话（控制台、计划任务）可能无法正确访问密钥存储组件。可尝试两种调整：

• 切换到CurrentUser范围：此方式下加密的密码仅能由加密时的用户解密，若计划任务使用特定用户执行，需确保加密和解密用同一用户。修改核心代码：

  # 加密函数中替换范围
  $EncryptedPassword = [System.Security.Cryptography.ProtectedData]::Protect($PlainPasswordBytes, $null, [System.Security.Cryptography.DataProtectionScope]::CurrentUser)
  # 解密函数中替换范围
  $DecryptedPasswordBytes = [System.Security.Cryptography.ProtectedData]::Unprotect($EncryptedPasswordBytes, $null, [System.Security.Cryptography.DataProtectionScope]::CurrentUser)
  

• 修复LocalMachine权限：若必须使用机器级范围，需确保非交互式用户拥有DPAPI密钥目录的读取权限：

  # 检查权限
  Get-Acl -Path "C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys" | Format-List
  # 添加读取权限（替换DOMAIN\UserName为实际用户）
  $acl = Get-Acl "C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys"
  $rule = New-Object System.Security.AccessControl.FileSystemAccessRule("DOMAIN\UserName", "Read", "Allow")
  $acl.AddAccessRule($rule)
  Set-Acl "C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys" $acl
  

2. 非交互式会话的.NET程序集加载问题 #

非交互式会话中Add-Type可能未正确加载依赖组件，可调整加载逻辑：

# 在函数开头统一加载所需程序集，避免重复或遗漏
Add-Type -AssemblyName System.Security, System.Text.Encoding
# 或显式指定.NET版本确保加载正确
Add-Type -AssemblyName System.Security -Version 4.0.0.0

3. 加密数据验证与兼容性 #

在解密函数中添加数据验证步骤，排查空数据问题：

# 解密函数中添加验证
$EncryptedPasswordBytes = [Convert]::FromBase64String($Encrypted64Password)
if ($EncryptedPasswordBytes.Length -eq 0) {
    throw "无效的加密数据"
}

$DecryptedPasswordBytes = [System.Security.Cryptography.ProtectedData]::Unprotect($EncryptedPasswordBytes, $null, [System.Security.Cryptography.DataProtectionScope]::LocalMachine)
if ($DecryptedPasswordBytes -eq $null -or $DecryptedPasswordBytes.Length -eq 0) {
    throw "解密返回空结果"
}

4. 计划任务执行上下文优化 #

针对计划任务的特殊场景：

• 确保任务"运行方式"用户与加密时的用户一致（使用CurrentUser范围时）
• 勾选"加载用户配置文件"选项（在任务设置的"常规"或"登录"标签下）
• 避免使用系统账户执行，系统账户的DPAPI上下文与普通用户存在差异

内容的提问来源于stack exchange，提问作者Kevin C