如何使用Azure KeyVault密钥配置PowerShell Credential连接VM？解决凭证无效问题

以下是针对你遇到的"凭证无效"错误的排查和解决步骤：

• 核对虚拟机管理员账户名
  不要默认使用"administrator"，先确认目标VM的实际管理员账户名：

  • 如果是Azure VM，可在Azure门户的VM"概述"页查看"管理员账户"字段
  • 如果是域环境，账户名需要用域名\用户名或用户名@域名格式

• 处理密码特殊字符转义问题
  从KeyVault取出的密码若包含$、&等特殊字符，直接在PowerShell inline脚本中使用$(myPass)会被解析为变量或命令，导致密码失真。可以用两种方式解决：

  1. 用单引号包裹密码字符串，强制PowerShell按纯文本处理：

     $password = ConvertTo-SecureString -String '$(myPass)' -AsPlainText -Force
     

  2. 通过环境变量传递密码，避免解析问题：

     - task: PowerShell@2
       inputs:
           targetType: inline
           script: |
               $password = ConvertTo-SecureString -String $env:VM_PASSWORD -AsPlainText -Force
               $cred = New-Object System.Management.Automation.PSCredential ("正确的管理员账户名", $password)
               Invoke-Command -VMName "myVM" -ScriptBlock {
                   Write-Host "Hello!"
                   systeminfo
               } -Credential $cred
           env:
               VM_PASSWORD: $(myPass)
       displayName: 'Remoting into a computer.'
     

• 调试验证凭证正确性
  在脚本中添加临时调试代码，确认凭证的用户名和解密后的密码是否与预期一致（调试完成后删除该部分）：

  Write-Host "当前凭证用户名: $($cred.UserName)"
  $decryptedPwd = [System.Net.NetworkCredential]::new("", $cred.Password).Password
  Write-Host "解密后的密码: $decryptedPwd"
  

• 检查VM的PowerShell远程配置
  确保目标VM已正确开启WinRM：

  • 在VM本地执行Enable-PSRemoting -Force开启远程
  • 确认VM防火墙允许WinRM端口（默认HTTP 5985、HTTPS 5986）
  • 若为Azure VM，检查NSG规则是否放行WinRM流量
  • 先在本地机器用已知正确的凭证尝试远程连接，排除VM本身的配置问题

• 改用Azure专用的VM命令执行方式
  如果是Azure VM，可以使用Invoke-AzVMCommand替代传统Invoke-Command，该命令基于Azure API，避免WinRM凭证传递的潜在问题：

  - task: AzurePowerShell@5
    inputs:
      azureSubscription: '你的Azure订阅名称'
      ScriptType: 'InlineScript'
      Inline: |
          $password = ConvertTo-SecureString -String '$(myPass)' -AsPlainText -Force
          $cred = New-Object System.Management.Automation.PSCredential ("正确的管理员账户名", $password)
          Invoke-AzVMCommand -ResourceGroupName "VM所在资源组" -VMName "myVM" -Command {
              Write-Host "Hello!"
              systeminfo
          } -Credential $cred
      azurePowerShellVersion: 'LatestVersion'
    displayName: '在Azure VM上执行命令'
  

内容的提问来源于stack exchange，提问作者noobie