Windows 10远程修改用户密码且不丢失Credential Manager凭据

关于RunAs在无头机器的可行性 #

不行。RunAs仅能模拟用户执行常规命令，无法触发Windows要求的交互式安全桌面改密码流程——也就是Ctrl+Alt+Del唤起的专属改密码界面。无头环境下没有活跃的用户桌面会话，根本无法调用这个入口；就算用RunAs执行net user或PowerShell的Set-LocalUser修改密码，本质还是非交互式操作，一样会触发凭据清除，因为没走系统认可的“用户主动在安全桌面操作”的流程。

能否移除改密码时的凭据清除机制？ #

没有官方支持的直接禁用方法，这是Windows的安全设计：当密码被非交互式修改时，系统默认判定操作可能非用户主动发起，因此会清除存储的凭据和DPAPI密钥，防止攻击者滥用旧密码对应的权限。

但有几个替代方案能实现你的目标：

• 备份恢复凭据与DPAPI密钥：
  修改密码前，先导出用户的Credential Manager凭据和DPAPI主密钥，改完密码后再导入恢复。需要用户旧密码才能导出密钥，远程执行需确保权限足够。
  示例PowerShell操作（需先安装CredentialManager模块）：

  # 导出凭据
  Get-StoredCredential | Export-Clixml -Path "C:\temp\user_cred_backup.xml"
  # 修改本地账户密码
  Set-LocalUser -Name "TargetUser" -Password (ConvertTo-SecureString "NewPass123!" -AsPlainText -Force)
  # 恢复凭据
  Import-Clixml -Path "C:\temp\user_cred_backup.xml" | New-StoredCredential
  

• 域账户场景用组策略调整：
  如果机器加入域，可通过组策略配置“允许用户更改域密码时保留凭据”。域环境的密码修改流程和本地账户不同，组策略可以规避凭据丢失问题，但仅限域账户。
• 模拟交互式会话触发改密码：
  借助Ansible的win_psexec模块，在用户活跃会话中触发锁定屏幕，再模拟输入完成密码修改。但这个方法依赖目标机器有活跃的用户桌面会话，自动化复杂度高，稳定性一般，不推荐批量场景使用。

内容的提问来源于stack exchange，提问作者Jibril