使用PSSession远程执行CMD/EXE遇Error 1603权限拒绝求助

问题根源分析 #

你遇到的Access Denied和Error 1603，核心原因是远程PowerShell会话本身已经通过-Credential参数以指定管理员身份建立，在会话内部再用runas或Start-Process -Credential尝试二次提升权限，会触发Windows远程UAC的限制（默认情况下，远程会话中的管理员令牌是过滤后的，无法再次通过凭据启动高权限进程）。而你移除-Credential后能正常运行，恰好证明当前PSSession的权限已经足够执行安装操作，没必要嵌套凭据调用。

解决方案：利用现有PSSession权限执行，正确捕获退出码 #

下面是修改后的完整脚本，移除了冗余的凭据嵌套调用，改用Start-Process可靠捕获安装程序的真实退出码：

# 本地端脚本：建立PSSession并调用远程脚本
$server = 'computer01'
# 这里传入拥有computer01管理员权限的凭据
$sessionCreds = Get-Credential -Credential "DOMAIN\AdminUsername"
$session = New-PSSession -ComputerName $server -Credential $sessionCreds

$scriptBlock = {
    # 定义远程机器上的安装路径和响应文件路径
    $setupPath = "C:\Path\To\Your\SETUP.EXE" # 替换为远程机器上的真实路径
    $respfile = Join-Path $env:TEMP "test.resp"
    
    # 创建响应文件
    'key=value' | Out-File -FilePath $respfile -Encoding ASCII
    
    # 直接用当前会话权限执行安装，等待完成并捕获退出码
    $installProcess = Start-Process -FilePath $setupPath -ArgumentList "/INSTALL -s /RESPFILE:`"$respfile`"" -Wait -PassThru -NoNewWindow
    
    # 输出真实退出码
    Write-Host "安装程序退出码：$($installProcess.ExitCode)"
    return $installProcess.ExitCode
}

# 执行远程脚本并接收退出码
$exitCode = Invoke-Command -Session $session -ScriptBlock $scriptBlock
Write-Host "远程安装返回的最终退出码：$exitCode"

# 清理会话
Remove-PSSession -Session $session

关键修改点说明 #

1. 移除嵌套凭据调用：远程脚本块内不再使用Get-Credential、runas或Start-Process -Credential，因为New-PSSession和Invoke-Command已经用-Credential传递了管理员权限，会话内所有操作都会以该身份执行。
2. 用Start-Process捕获退出码：
   • -Wait：等待安装程序执行完成再继续后续代码
   • -PassThru：返回进程对象，通过ExitCode属性获取真实的安装退出码（比$LASTEXITCODE更可靠，尤其是远程场景）
   • -NoNewWindow：避免远程机器弹出窗口（如果是无人值守安装，这个参数很重要）
3. 路径处理：用Join-Path确保响应文件路径在远程机器的临时目录下，安装程序路径必须是远程机器可访问的绝对路径（如果是共享路径，需要用远程机器能识别的UNC路径，比如\\FileServer\Share\SETUP.EXE）。

额外注意事项 #

• UAC设置验证：如果你的域管理员在远程机器上仍遇到权限问题，可以检查远程机器的LocalAccountTokenFilterPolicy注册表项（路径：HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System），将其值设为1（默认是0），这会允许远程管理员获得完整的管理员令牌。修改后需要重启远程机器生效。
• 安装程序参数：确保/INSTALL -s /RESPFILE:这些参数符合你使用的SETUP.EXE的要求，有些安装程序对参数格式（比如引号）有严格要求。
• 日志排查：如果仍出现Error 1603，可以让安装程序生成详细日志（通常通过添加/LOG参数，比如/LOG:"C:\Temp\InstallLog.txt"），然后远程查看日志定位具体失败原因。

内容的提问来源于stack exchange，提问作者emyatsuna