Win10 PowerShell：结合net user与runas保凭据遇服务启动错误

一、解决Start-Process -Credential报错问题 #

你遇到的报错核心是Secondary Logon服务未正常运行或配置不当，可按以下步骤排查：

• 打开服务管理器，找到Secondary Logon服务，确认启动类型为自动且状态为正在运行。该服务是跨身份执行runas、Start-Process -Credential等命令的基础，必须启用。
• 检查目标用户权限：打开本地组策略编辑器（gpedit.msc），进入计算机配置>Windows设置>安全设置>本地策略>用户权限分配，确保目标用户在允许本地登录列表中。
• 远程场景下，需确保目标机器的WinRM服务正常运行，且管理员账户已被授予远程执行权限。

二、验证改密方式对凭据管理器的影响 #

你的思路中，用runas以目标用户身份执行net user USERNAME PASSWORD，本质是用户本人发起的合法密码修改，和通过CTRL+ALT+DEL改密的效果完全一致，不会导致凭据管理器中的机密丢失——因为凭据管理器的机密绑定的是用户SID而非密码，合法改密后会自动关联新密码。

但需注意：如果直接以管理员身份执行net user USERNAME PASSWORD（不切换到目标用户身份），属于强制改密操作，会触发系统安全机制，导致用户存储的凭据失效，必须重新输入。

三、更可靠的半自动化改密脚本方案 #

推荐用PowerShell结合WinRM远程执行，规避Start-Process的交互限制：

1. 先在目标机器开启WinRM（管理员权限执行）：

Enable-PSRemoting -Force

2. 远程执行改密命令（以目标用户身份发起，需知晓旧密码）：

$targetUser = "目标用户名"
$oldPassword = ConvertTo-SecureString "旧密码" -AsPlainText -Force
$newPassword = ConvertTo-SecureString "新密码" -AsPlainText -Force
$credential = New-Object System.Management.Automation.PSCredential($targetUser, $oldPassword)

# 添加目标机器到信任主机列表（本地执行）
Set-Item WSMan:\localhost\Client\TrustedHosts -Value "目标机器名/IP" -Force

# 远程执行改密
Invoke-Command -ComputerName 目标机器名 -Credential $credential -ScriptBlock {
    Set-LocalUser -Name $using:targetUser -Password $using:newPassword
}

也可调用Windows原生API确保改密合法性：

Add-Type @"
using System;
using System.Runtime.InteropServices;
public class PasswordChange {
    [DllImport("netapi32.dll", CharSet = CharSet.Unicode, SetLastError = true)]
    public static extern uint NetUserChangePassword(
        string domainName,
        string userName,
        string oldPassword,
        string newPassword
    );
}
"@

$userName = "目标用户名"
$domain = "." # 本地用户用.
$oldPassword = "旧密码"
$newPassword = "新密码"
$credential = New-Object System.Management.Automation.PSCredential($userName, (ConvertTo-SecureString $oldPassword -AsPlainText -Force))

Invoke-Command -ComputerName 目标机器名 -Credential $credential -ScriptBlock {
    [PasswordChange]::NetUserChangePassword($using:domain, $using:userName, $using:oldPassword, $using:newPassword)
}

注意事项 #

• 若目标用户忘记旧密码，只能以管理员身份强制改密，但会导致凭据管理器中的机密丢失，无法避免。
• 远程执行前需确保本地与目标机器的网络连通性，且WinRM端口（默认5985）未被防火墙拦截。

内容的提问来源于stack exchange，提问作者Jibril