能否在RDS终端服务器而非域控上运行AD脚本修改域用户密码？

你在RDS成员服务器上直接执行net user [Username] [Password]不生效，核心原因是不带额外参数的net user命令默认操作本机的SAM（本地安全账户管理器）数据库，只会修改RDS服务器本地的同名用户密码，根本不会读写Active Directory的域账户存储，和你在哪台服务器执行没有强制绑定关系。修改AD域用户密码不需要必须登录域控本机操作，只要执行账号拥有对应的域账户密码重置权限，在任意加域的成员服务器上都可以完成操作。

不需要远程连域控，在RDS服务器上直接调整命令写法即可生效：

• 继续用net user命令的话，追加/domain参数，指定命令作用于域账户库：

  net user [Username] [NewPassword] /domain
  

• 更推荐用AD原生PowerShell cmdlet操作，需要先在RDS服务器上安装RSAT-AD-PowerShell功能（通过服务器管理器添加对应功能即可），执行命令时使用有密码重置权限的域账号：

  $newPwd = ConvertTo-SecureString "你的新密码" -AsPlainText -Force
  Set-ADAccountPassword -Identity [用户名] -NewPassword $newPwd -Reset
  

这两个cmdlet完全可以实现远程在域控上执行密码修改操作，本质是通过PowerShell Remoting把命令投递到域控端执行，和你本地登录域控跑命令效果一致，前提是域控开启WinRM服务（域环境默认开启）、你的操作账号有域控远程管理权限和域账户密码重置权限。

• 单次操作用Invoke-Command即可，不需要提前建持久会话：

  # 替换为你环境里的域控主机名、目标用户名、新密码
  $dcHost = "DC01.yourdomain.local"
  $targetUser = "user01"
  $newPwd = ConvertTo-SecureString "新密码" -AsPlainText -Force
  
  Invoke-Command -ComputerName $dcHost -ScriptBlock {
      param($u,$p)
      net user $u $p /domain
  } -ArgumentList $targetUser, $newPwd
  

• 需要连续在域控上执行多步操作时，用New-PSSession建立持久会话效率更高，操作完成记得释放会话：

  # 建立到域控的持久会话
  $dcSession = New-PSSession -ComputerName $dcHost
  # 执行密码修改
  Invoke-Command -Session $dcSession -ScriptBlock {
      param($u,$p)
      net user $u $p /domain
  } -ArgumentList $targetUser, $newPwd
  # 后续可以复用$dcSession执行其他域控操作
  # 全部操作完成后移除会话
  Remove-PSSession $dcSession
  

• 生产环境不要把明文密码硬编码在脚本里，建议用密钥管理服务或加密的SecureString存储凭据，避免凭据泄露。
• 不管是本地直接操作AD还是远程连域控执行，权限校验只和你使用的操作账号有关，不存在“只能在域控本机修改域用户密码”的限制。

内容的提问来源于stack exchange，提问作者TorbenIT