Azure Windows AppService部署.NET Core 5应用无法调用Invoke-Command问题

核心结论 #

• Azure原生多租户Windows App Service 默认未提供WinRM服务，也不支持用户自行启用，你遇到的所有报错均为PaaS沙箱的正常限制，不存在可以在Azure Portal中调整开启的相关配置。

Windows App Service属于多租户PaaS服务，所有用户应用都运行在隔离沙箱环境中，平台出于安全和多租户隔离要求，默认屏蔽了系统级服务的访问、修改权限：

1. 应用运行上下文没有管理员权限，因此Enable-PSRemoting、修改WSMan:\localhost\Client\TrustedHosts这类需要系统权限的操作必然失败
2. 平台默认未预装WinRM服务，也禁止用户访问相关系统接口，因此你会收到Service WinRM was not found on computer '.'的报错

你完全无法在原生多租户Windows App Service中直接使用Invoke-Command这类远程PowerShell功能，就算使用独立的App Service Environment（ASE）部署，也需要申请特殊权限才能配置WinRM，成本极高，不建议尝试。

可行替代方案 #

• 将远程PowerShell执行逻辑迁移到同VNet的Windows VM中，App Service通过自定义API或队列消息触发VM上的脚本执行，再获取返回结果
• 使用Azure自动化账户的PowerShell Runbook执行远程脚本：自动化账户支持VNet集成，可以正常访问同VNet内VM的WinRM端口，App Service调用自动化账户的API触发Runbook执行、获取执行结果即可
• 改用容器化部署方案：将.NET 5应用打包到预装了WinRM客户端的自定义Windows镜像中，通过ACI或者AKS部署，即可正常调用远程PowerShell接口

内容的提问来源于stack exchange，提问作者klimat