如何在PowerShell中从另一脚本传递凭据运行脚本并解决权限问题

核心原因分析 #

你遇到的是远程会话权限上下文差异问题：Invoke-Command用指定凭据建立的是远程机器上的网络登录会话，这类会话默认没有本地文件系统的完整权限（比如访问本地磁盘NTFS权限）；而直接在服务器本地运行属于交互式登录会话，权限上下文完全不同，这就是两种场景结果不一致的关键。

具体解决方案 #

方案1：确认远程凭据的本地权限配置 #

• 验证导入的$Cred对应账号，在目标服务器上拥有C:\Temp及操作文件所在目录的NTFS读写权限
• 确保该账号已加入目标服务器的Remote Management Users组（保证远程执行命令的基础权限）

你已经测试过本地登录执行脚本正常，说明账号本地权限没问题，重点排查远程会话的权限限制

方案2：启用CredSSP解决双跳权限问题 #

如果脚本需要访问网络共享文件，会触发"双跳"权限限制——远程会话无法将凭据传递到第三台机器（比如文件服务器），此时需启用CredSSP认证：

1. 本地客户端（执行Invoke-Command的机器）配置：

Enable-WSManCredSSP -Role Client -DelegateComputer "目标服务器主机名或IP"

2. 目标服务器配置：

Enable-WSManCredSSP -Role Server

3. 修改远程执行命令：

Invoke-Command -ComputerName $Server -Credential $Cred -Authentication CredSSP -ScriptBlock {& C:\Temp\script.ps1}

方案3：在远程会话内重新调用本地凭据 #

如果是远程会话对本地文件的权限异常，可以在ScriptBlock内导入目标服务器本地保存的凭据，用Start-Process重新启动脚本：

Invoke-Command -ComputerName $Server -Credential $Cred -ScriptBlock {
    # 提前在目标服务器本地生成凭据文件：Get-Credential | Export-Clixml -Path C:\Temp\localCred.clixml
    $localCred = Import-Clixml -Path "C:\Temp\localCred.clixml"
    Start-Process powershell.exe -ArgumentList "-File C:\Temp\script.ps1" -Credential $localCred -Wait -NoNewWindow
}

注意：需确保localCred.clixml的NTFS权限仅允许目标账号读取

方案4：检查目标服务器执行策略 #

虽然脚本能启动，但仍需确认远程机器的PowerShell执行策略是否限制操作：

Invoke-Command -ComputerName $Server -Credential $Cred -ScriptBlock { Get-ExecutionPolicy }

若为Restricted或AllSigned，调整为RemoteSigned允许本地脚本运行：

Invoke-Command -ComputerName $Server -Credential $Cred -ScriptBlock { Set-ExecutionPolicy RemoteSigned -Force }

内容的提问来源于stack exchange，提问作者Jason27300