Get-Service远程执行失败但Invoke-Command方式成功的原因咨询

1. 底层协议与执行方式差异 #

• Get-Service -ComputerName：直接通过Windows服务控制管理器(SCM)的远程RPC调用工作，需要从本地机器跨网络直接访问目标服务器的SCM组件，依赖RPC（135端口）、SMB（445端口）等传统Windows远程管理端口，本质是「远程读取SCM数据」。
• Invoke-Command：基于WinRM（Windows远程管理）协议创建远程PowerShell会话，在目标服务器的本地上下文执行Get-Service命令——命令是在目标服务器本地运行的，不需要跨网络访问SCM，仅通过WinRM传回结果。

2. 权限验证与上下文的区别 #

• Get-Service -ComputerName使用网络身份验证，你的管理员账号需要在目标服务器的「从网络访问此计算机」组策略项中被允许，同时需目标服务器开放SCM的远程访问权限（这类权限常被企业组策略限制）。
• Invoke-Command的身份验证通过WinRM完成，账号只需被加入目标服务器的Remote Management Users组（或拥有WinRM远程登录权限），由于命令在远程机器本地执行，用的是远程机器的本地权限上下文，不受「网络访问SCM」的限制。

3. 企业环境的防火墙/组策略限制 #

企业服务器通常会做严格安全管控：

• 防火墙可能仅开放WinRM的5985/HTTP或5986/HTTPS端口，却封禁了RPC、SMB等传统远程管理端口，导致Get-Service无法连接远程SCM。
• 组策略可能禁用了「允许远程访问服务控制管理器」的设置，但保留了WinRM的远程管理权限，这是常见的安全加固操作。

内容的提问来源于stack exchange，提问作者Ken