本地管理员组成员执行PowerShell Stop-IISSite命令遇权限被拒问题排查

本地管理员组内的用户直接运行PowerShell执行IIS管理命令（如Stop-IISSite）时会触发E_ACCESSDENIED权限拒绝错误，但以管理员身份启动PowerShell执行相同命令则正常。已通过以下命令确认用户确实属于本地管理员组：

PS C:\Users\3dot> $user = "$env:COMPUTERNAME\$env:USERNAME"
PS C:\Users\3dot> $group = 'Administrators'
PS C:\Users\3dot> $isInGroup = (Get-LocalGroupMember $group).Name -contains $user
PS C:\Users\3dot> $isInGroup
True
PS C:\Users\3dot> Stop-IISSite Test -Confirm: $false
Stop-IISSite : Access is denied. (Exception from HRESULT: 0x80070005 (E_ACCESSDENIED))
At line:1 char:1
+ Stop-IISSite Test -Confirm: $false
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : NotSpecified: (:) [Stop-IISSite], UnauthorizedAccessException
    + FullyQualifiedErrorId : System.UnauthorizedAccessException,Microsoft.IIS.Powershell.Commands.StopIISSiteCommand

原因分析 #

• UAC（用户账户控制）权限过滤：即使是本地管理员组的成员，默认启动的PowerShell进程仅拥有标准用户权限。IIS管理命令涉及修改系统级配置、操作服务资源，必须具备提升的管理员权限才能执行。
• 本地管理员组的权限会被UAC默认限制，只有明确提升进程权限后，才能获取完整的管理员安全令牌。

解决方法 #

• 手动提升权限：右键点击PowerShell图标，选择以管理员身份运行，再执行IIS命令。
• 配置默认管理员启动：右键PowerShell快捷方式→属性→「快捷方式」选项卡→高级→勾选「以管理员身份运行」→保存设置，后续启动PowerShell会自动获取提升权限。
• 脚本自动提升权限：如果需要在脚本中自动处理权限提升，可在脚本开头添加以下代码：

# 检查当前进程是否为管理员权限
$currentPrincipal = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())
if (-not $currentPrincipal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) {
    # 以管理员身份重新启动当前脚本
    Start-Process powershell.exe "-NoProfile -ExecutionPolicy Bypass -File `"$PSCommandPath`"" -Verb RunAs
    exit
}

内容的提问来源于stack exchange，提问作者3dot