Azure虚拟机自定义脚本扩展加域失败：密码更新错误

我尝试使用Azure虚拟机的Microsoft Custom Script Extension，通过PowerShell脚本将主机加入域。手动在主机上运行该脚本可成功，但通过该扩展部署时失败，报错无法更新密码，提供的当前密码不正确。

脚本内容如下：

$domainName = "domain.com"
$serviceAccountName = "accountname"
$serviceAccountPassword = "password"

$securePassword = ConvertTo-SecureString $serviceAccountPassword -AsPlainText -Force
$serviceAccountCredential = New-Object System.Management.Automation.PSCredential($serviceAccountName, $securePassword)

Add-Computer -DomainName $domainName -Credential $serviceAccountCredential -Restart

可能的原因与解决办法 #

• 密码特殊字符转义：如果服务账户密码包含$、&、"这类特殊字符，Custom Script Extension在传递参数时会自动转义，导致脚本实际获取的密码和原密码不符。建议不要硬编码密码，改用Azure Key Vault存储凭据，在脚本中读取密钥内容。
• 账户格式不完整：确保$serviceAccountName使用完整格式，比如domain\accountname或accountname@domain.com，仅用用户名可能在扩展的运行上下文里无法正确关联到目标域。
• 扩展运行上下文限制：Custom Script Extension是以系统账户（NT AUTHORITY\SYSTEM）身份执行的，部分域环境下可能对该上下文的域加入操作有隐性限制。可以尝试在Add-Computer命令中添加-Options JoinWithNewName参数，或者先设置好计算机名再执行域加入操作。
• 账户状态异常：确认在扩展执行期间，服务账户密码没有过期，也没有因为之前的失败尝试被临时锁定。

内容的提问来源于stack exchange，提问作者AAdil