如何为Windows任务计划每日运行的PowerShell脚本安全存储密码？

1. Windows凭据管理器（推荐个人/小型环境） #

Windows凭据管理器是系统内置的安全存储机制，凭据会被加密存储，仅当前用户（或指定机器）可访问，无需在脚本中处理复杂的加密解密逻辑。

操作步骤： #

• 添加凭据：
  打开「控制面板→用户账户→凭据管理器→Windows凭据」，点击「添加Windows凭据」：

  • 互联网或网络地址：自定义标识（如GoogleMailAppPassword）
  • 用户名：你的Google邮箱地址
  • 密码：Google应用密码

• 脚本中读取并使用：
  可以用Export-Clixml/Import-Clixml快速实现（仅当前用户可解密）：

  # 仅需运行一次：保存凭据到本地加密文件
  $cred = Get-Credential -Message "输入Google邮箱和应用密码" -UserName "your@gmail.com"
  $cred | Export-Clixml -Path "$env:APPDATA\GoogleMailCred.xml"
  
  # 日常脚本中读取
  $cred = Import-Clixml -Path "$env:APPDATA\GoogleMailCred.xml"
  Send-MailMessage -From $cred.UserName -To "recipient@example.com" `
    -Subject "操作完成通知" -Body "任务已执行完毕" `
    -SmtpServer "smtp.gmail.com" -Port 587 -UseSsl -Credential $cred
  

  也可以直接调用凭据管理器API读取，避免生成本地文件：

  $target = "GoogleMailAppPassword"
  $credential = [System.Management.Automation.PSCredential]::new(
    "your@gmail.com",
    (Get-Password -Target $target)
  )
  Send-MailMessage ... -Credential $credential
  

2. 用户级DPAPI加密存储（优化原有加密方案） #

如果偏好存储文件，改用用户级DPAPI加密，加密后的内容仅当前用户可解密，其他用户即使拿到文件也无法破解。

加密密码（仅运行一次）： #

$appPassword = "你的Google应用密码"
$securePass = ConvertTo-SecureString $appPassword -AsPlainText -Force
$securePass | ConvertFrom-SecureString | Out-File "$env:USERPROFILE\GoogleAppPass.txt"

脚本中解密使用： #

$encryptedPass = Get-Content "$env:USERPROFILE\GoogleAppPass.txt"
$securePass = ConvertTo-SecureString $encryptedPass
$cred = New-Object System.Management.Automation.PSCredential("your@gmail.com", $securePass)
Send-MailMessage ... -Credential $cred

3. Azure Key Vault（适合企业级环境） #

若使用Azure生态，将密码存储在Azure Key Vault中，脚本通过Azure AD身份验证获取密码，本地无任何凭据残留。

核心代码示例： #

# 先安装Az模块（首次运行）
# Install-Module -Name Az.KeyVault -Force

# 若脚本在Azure虚拟机上运行，使用系统身份验证
Connect-AzAccount -Identity
# 若在本地运行，使用用户身份验证：Connect-AzAccount

$secret = Get-AzKeyVaultSecret -VaultName "YourVaultName" -Name "GoogleAppPassword" -AsPlainText
$securePass = ConvertTo-SecureString $secret -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("your@gmail.com", $securePass)
Send-MailMessage ... -Credential $cred

需提前在Azure中配置Key Vault，并为运行脚本的主体分配Secret User权限。

环境变量方案补充 #

若坚持使用环境变量，可按以下方式操作，但安全性弱于上述方案：

• 临时设置：PowerShell中执行$env:GOOGLE_APP_PASSWORD = "你的应用密码"（重启后失效）
• 永久设置：通过「系统属性→环境变量→用户变量」添加GOOGLE_APP_PASSWORD
• 脚本读取：

  $securePass = ConvertTo-SecureString $env:GOOGLE_APP_PASSWORD -AsPlainText -Force
  $cred = New-Object System.Management.Automation.PSCredential("your@gmail.com", $securePass)
  Send-MailMessage ... -Credential $cred
  

  注意：拥有系统权限的用户可查看环境变量内容。

内容的提问来源于stack exchange，提问作者Someshwaran S