AWS上Windows Server 2019组策略登录脚本默认以管理员PowerShell运行能否修改？

核心原因排查 #

以下是导致登录脚本以管理员权限运行的常见配置问题，按优先级检查：

1. 组策略“以最高特权运行”设置 #

这是最可能的诱因，需确认用户组策略中是否强制开启了权限提升：

• 打开本地组策略编辑器，导航到：用户配置 > 管理模板 > 系统 > 脚本
• 找到**“登录脚本的执行权限”**策略：
  • 若当前设置为**“以最高特权运行”**，会强制脚本以管理员权限执行，与预期的普通用户上下文冲突
  • 将其改为**“不配置”或“以用户权限运行”**，执行gpupdate /force更新组策略

2. AWS AMI默认UAC与用户组配置 #

AWS Windows Server 2019 AMI默认创建的用户属于本地管理员组，若UAC设置过低，可能触发自动权限提升：

• 打开用户账户控制设置，将滑块调至**“默认：仅在程序尝试更改我的计算机时通知我”**
• 若登录用户无需管理员权限，可将其从本地管理员组移除（仅适用于非管理员场景）

3. 脚本/批处理的主动提升逻辑 #

检查脚本中是否存在强制管理员启动的代码：

• PowerShell脚本是否使用Start-Process powershell.exe -Verb RunAs
• 批处理脚本是否包含runas /user:Administrator或类似命令
• 移除这类代码即可恢复普通用户上下文运行

验证脚本运行上下文 #

为精准确认执行身份，可在登录脚本中添加日志输出：

# 输出当前用户身份
"当前用户: $([Security.Principal.WindowsIdentity]::GetCurrent().Name)" >> C:\login_script_debug.log
# 输出是否为管理员权限
"是否管理员: $([Security.Principal.WindowsPrincipal]::new([Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator))" >> C:\login_script_debug.log
# 输出权限详情
whoami /priv >> C:\login_script_debug.log

登录后查看C:\login_script_debug.log，即可明确脚本的实际运行上下文，辅助定位问题。

补充处理方案 #

若以上配置均正常，可尝试：

• 重新创建本地组策略对象，避免原有配置残留
• 检查AWS实例的IAM角色是否有特殊权限传递（通常不影响本地登录脚本权限）

内容的提问来源于stack exchange，提问作者BlueJ2598