Azure DevOps中PowerShell停止服务脚本首次成功后执行失败求助

可能原因 #

• 服务停止后的权限校验变化：首次执行时目标服务处于运行状态，远程服务控制管理器（SCM）对当前身份的验证通过；服务停止后，远程主机SCM对后续访问的权限校验逻辑收紧，或者依赖的远程管理组件（如RPC相关服务）受影响，导致Azure DevOps代理的权限不足以再次访问SCM。
• 代理身份会话问题：首次运行时代理账户的权限会话处于有效状态，后续执行时会话过期或切换，丢失了远程访问目标主机SCM的权限。
• 远程主机安全拦截：首次访问后，目标主机的防火墙、安全软件或组策略将Azure DevOps代理的访问行为标记为可疑，拦截了后续的SCM连接请求。
• PowerShell远程连接残留：首次执行后远程会话未正确释放，后续请求无法建立有效连接，触发权限报错。

解决建议 #

• 切换更稳定的远程服务查询方式：替换Get-Service为CIM命令，其远程访问机制更可靠，权限处理更透明：

  $teamDev = '$(Library.Variable)'
  # 先验证远程主机连通性
  if (Test-Connection -ComputerName $teamDev -Count 1 -Quiet) {
      # 查询运行中的服务并停止
      $runningServices = Get-CimInstance Win32_Service -ComputerName $teamDev -Filter "State='Running'"
      if ($runningServices) {
          $runningServices | Invoke-CimMethod -MethodName StopService
      }
  } else {
      Write-Error "无法连接到远程计算机 $teamDev"
  }
  

• 确保代理账户权限：将执行脚本的Azure DevOps代理服务账户添加到目标主机的Administrators组，或通过组策略授予其「从网络访问此计算机」的权限（路径：计算机配置>Windows设置>安全设置>本地策略>用户权限分配）。
• 检查远程主机安全策略：
  • 确认Windows防火墙允许「远程服务管理」规则（开放RPC动态端口及135端口）。
  • 排查组策略中「拒绝从网络访问此计算机」项，确保未包含代理账户。
• 清理远程会话：若脚本使用了PowerShell远程会话，执行完成后添加Remove-PSSession命令清理残留连接，避免影响后续执行。

内容的提问来源于stack exchange，提问作者Rod