Ubuntu EC2实例远程执行AD脚本遇过滤及权限问题求助

我来帮你一步步拆解和解决这些问题——跨Ubuntu的Pwsh远程到Windows机器执行AD命令的坑，我之前也踩过不少，咱们慢慢捋。

第一个问题：搜索过滤器无法识别 #

你初始代码里的错误其实很典型：远程会话无法直接访问本地变量。你在本地定义的$employeeEmail，在Invoke-Command的ScriptBlock里是不存在的，所以过滤器里的'$employeeEmail'会被解析成字符串字面量，而不是变量值，导致AD无法识别这个过滤器。

你后来改成'$($Args[0])'是完全正确的，也可以用更清晰的param方式接收参数，可读性更好：

Invoke-Command -Session $session -ArgumentList $employeeEmail -ScriptBlock{
    param($targetEmail)
    Get-ADUser -Filter "EmailAddress -eq '$targetEmail'" -Properties EmailAddress
}

第二个核心问题：权限不足（以及无效的提权尝试） #

你说管理员账号在本地运行脚本正常，但远程执行就报权限不足，而且你尝试的提权代码根本行不通——原因很简单：

在远程会话里用Start-Process powershell.exe -Verb RunAs会触发UAC弹窗，但你是从Ubuntu的Pwsh远程连接过去的，没有交互式桌面，根本无法确认UAC，这个命令只会卡住或者直接失败，完全起不到提权作用。

可能的原因与解决方案 #

咱们从几个方向排查：

1. 检查会话配置（-ConfigurationName corpmaint02）的限制

你指定了自定义的会话配置corpmaint02，这个配置可能被限制了权限：比如只允许执行特定命令，或者把管理员账号的权限降权了。

• 先尝试去掉-ConfigurationName corpmaint02参数，用默认的会话配置测试是否能成功执行。如果成功，说明问题出在自定义配置上。
• 如果必须用这个配置，登录到corpmaint02机器，运行以下命令检查配置权限：

  Get-PSSessionConfiguration -Name corpmaint02 | Select-Object Name, Permission
  

  确保你的contoso\myadminaccount账号有FullAccess权限，并且该配置没有限制AD模块的命令。

2. 确保远程会话的身份正确传递

你用-Credential $cred传递了管理员账号，理论上远程会话会以这个账号身份运行，但有时候WinRM的身份验证可能有问题：

• 确保-Authentication Negotiate参数是必要的（如果是域环境，默认的Kerberos可能更可靠，你可以尝试去掉这个参数，或者改成-Authentication Kerberos）。
• 在ScriptBlock里不要额外给Disable-ADAccount传-Credential参数——因为你已经用有权限的账号启动了远程会话，AD命令会自动继承这个身份（你本地运行时就是用这个账号，所以肯定有权限）。

3. 修正变量引用的小问题

你之前的Write-Host $employeeEmail has been 'disabled.'在远程会话里也会输出空，因为$employeeEmail是本地变量，远程会话里没有，要改成用传递的参数：

Write-Host "$($Args[0]) has been disabled."
# 或者用param的话更清晰：
Write-Host "$targetEmail has been disabled."

修正后的完整代码 #

这里给你一个更健壮的版本，加入了错误处理和验证：

#!/usr/bin/pwsh
$cred = Get-Credential contoso\myadminaccount
$employeeEmail = 'user1@contoso.com'

# 先尝试去掉-ConfigurationName参数测试
Invoke-Command -ComputerName corpmaint02 -Credential $cred -ArgumentList $employeeEmail -ScriptBlock {
    param($targetEmail)
    
    # 先验证是否能找到目标用户
    $adUser = Get-ADUser -Filter "EmailAddress -eq '$targetEmail'" -Properties EmailAddress
    if (-not $adUser) {
        Write-Warning "No AD user found with email: $targetEmail"
        return
    }

    try {
        # 执行禁用操作，用-Verbose看详细日志
        Disable-ADAccount -Identity $adUser -Verbose
        Write-Host "✅ Successfully disabled user: $targetEmail ($($adUser.Name))"
    }
    catch {
        Write-Error "❌ Failed to disable user $targetEmail : $_"
    }
}

4. 最后排查：UAC远程限制（针对本地管理员，域管理员可能不受影响）

如果是本地管理员账号（你用的是域管理员，这条可能不适用，但可以参考），默认情况下WinRM会过滤掉远程会话的管理员权限，需要修改注册表：

1. 登录到corpmaint02，打开注册表编辑器，找到HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
2. 创建DWORD值LocalAccountTokenFilterPolicy，设置值为1
3. 重启WinRM服务：Restart-Service WinRM

总结步骤 #

1. 去掉自定义会话配置，用默认配置测试是否解决权限问题。
2. 确认自定义会话配置的权限设置，确保你的账号有足够权限。
3. 修正远程会话中的变量引用，避免使用本地变量。
4. 放弃远程会话中用Start-Process -Verb RunAs的提权方式，无交互环境下根本无效。

内容的提问来源于stack exchange，提问作者Anas El Harda