流水线中重启Agent服务遇凭证失败，UI正常，求自动化方案

我的流水线包含两个任务：Job1通过Agent A1执行，Job2通过Agent A2执行。A1与A2均作为服务运行在同一台机器上。我需要在Job1中修改环境变量后重启Agent2，重启该Agent服务时需提供凭证。尝试多种方法均因凭证问题失败，仅通过UI操作可成功重启，现需将该流程自动化纳入流水线。

我尝试的方法如下：

• 方法1：gwmi PowerShell脚本

$UserName = 'domain\username'
$Password = 'mypassword'
$ServiceName = "name='AgentName'"

$svc = gwmi win32_service -filter $ServiceName
Write-Host $svc.Name
$svc.StopService()
$svc.change($null,$null,$null,$null,$null,$null,$UserName,$Password,$null,$null,$null)
$result = $svc.StartService()

• 方法2：批处理文件

net stop "servicename"
sc.exe config "servicename" obj="domain\username" password="mypwd"
net start "servicename"

• 方法3：Set-Service PowerShell脚本

$UserName = 'domain\user'
$Password = 'mypassword'
$Credential = New-Object System.Management.Automation.PSCredential ($UserName,$Password)

$ServiceName = 'servicename'

Set-Service -Name $ServiceName -Status Stopped

Set-Service -Name $ServiceName -Credential $Credential

Set-Service -Name $ServiceName -Status Running

方法1（gwmi脚本） #

• 过滤条件中的"是HTML转义字符，PowerShell无法识别，正确格式应为"Name='AgentName'"
• Win32_Service.Change()参数顺序错误：该方法第7、8位参数是StartName和StartPassword，但前面跳过了StartMode等必填参数位置，会导致配置逻辑混乱
• 未等待服务完全停止就执行修改/启动操作，容易引发服务状态冲突

方法2（批处理文件） #

• 同样存在HTML转义字符"，批处理无法解析，需直接使用双引号
• sc.exe config的obj参数后必须加空格（obj= "domain\username"），否则参数解析失败
• 没有处理服务启停的超时或失败情况，且明文存储密码存在严重安全风险

方法3（Set-Service脚本） #

• -Credential参数仅在PowerShell 6及以上版本支持，若使用旧版本会直接报错
• 明文创建PSCredential对象不安全，流水线环境中特殊字符可能导致密码解析错误
• 未等待服务状态变更完成，服务可能处于中间状态时就执行下一步操作

修正后的PowerShell脚本（推荐） #

使用现代的Cim API替代gwmi，处理服务状态等待，通过流水线安全变量传递密码：

$serviceName = "AgentName"
$domainUser = "domain\username"
# 从流水线安全环境变量获取密码，避免明文泄露
$securePassword = ConvertTo-SecureString $env:AGENT2_SERVICE_PASSWORD -AsPlainText -Force
$credential = New-Object System.Management.Automation.PSCredential ($domainUser, $securePassword)

# 停止服务并等待完全停止
$service = Get-CimInstance Win32_Service -Filter "Name='$serviceName'"
$null = $service | Invoke-CimMethod -Name StopService
do {
    Start-Sleep -Seconds 2
    $service = Get-CimInstance Win32_Service -Filter "Name='$serviceName'"
} while ($service.State -ne "Stopped")

# 更新服务登录凭证
$changeParams = @{
    StartName = $credential.UserName
    StartPassword = $credential.GetNetworkCredential().Password
}
$null = $service | Invoke-CimMethod -Name Change -Arguments $changeParams

# 启动服务并等待完全启动
$null = $service | Invoke-CimMethod -Name StartService
do {
    Start-Sleep -Seconds 2
    $service = Get-CimInstance Win32_Service -Filter "Name='$serviceName'"
} while ($service.State -ne "Running")

Write-Host "Agent2服务已成功重启并更新登录凭证"

关键注意事项 #

• 权限配置：Agent A1的运行账号必须拥有SeServiceLogonRight权限，以及修改目标服务配置的权限（可通过本地组策略计算机配置>Windows设置>安全设置>本地策略>用户权限分配配置）
• 密码安全：绝对不要在脚本中明文存储密码，使用流水线的秘密变量（如Azure DevOps秘密变量、Jenkins凭据）传递，脚本通过环境变量读取
• 状态等待：必须循环等待服务状态变更完成，避免因服务启停延迟导致的操作失败
• 版本兼容：确保使用PowerShell 5.1及以上版本，Cim API在该版本中已完全支持

内容的提问来源于stack exchange，提问作者user21317845