Connect-MsolService脚本如何避免明文存储密码拉取Azure AD日志

方案1：Windows凭据管理器（本地计划任务首选） #

这是本地运行计划任务最常用的安全方案，凭据存在系统安全存储区，仅对应Windows用户可读取，不会在脚本或文件中暴露明文。

• 操作步骤：
  1. 先安装官方凭据管理模块：Install-Module -Name CredentialManager -Scope CurrentUser
  2. 打开Windows凭据管理器 → Windows凭据 → 添加普通凭据，网络地址填自定义标识（比如AzureAD_LogReader），用户名密码填对应的Azure账号信息
  3. 替换脚本中原明文密码相关的代码为：

  $AzureUsername = 'log.reader@tenant.net'
  # 直接从凭据管理器读取凭据，无需明文密码
  $SecuredCreds = Get-StoredCredential -Target "AzureAD_LogReader"
  $OutputCSV = "$Env:USERPROFILE\desktop\DirSyncProvisioningErrors_$(Get-Date -Format "yyyyMMdd").csv"
  

  4. 计划任务配置为运行该凭据对应的Windows用户即可，无需在脚本中存任何密码。

方案2：DPAPI加密密码串（无需额外模块） #

利用Windows自带的DPAPI加密机制，生成仅当前机器、当前用户可解密的密码密文，存到本地文件。

• 操作步骤：
  1. 先在计划任务运行的机器、用运行任务的Windows账号手动执行以下命令，生成加密密码文件：

  Read-Host "请输入Azure账号密码" -AsSecureString | ConvertFrom-SecureString | Out-File "C:\SecurePath\AzurePwd.dat"
  

  2. 给生成的AzurePwd.dat文件设置NTFS权限，仅允许运行任务的用户读取
  3. 替换脚本中原明文密码相关代码为：

  $AzureUsername = 'log.reader@tenant.net'
  $SecureString = Get-Content "C:\SecurePath\AzurePwd.dat" | ConvertTo-SecureString
  $SecuredCreds = New-Object -TypeName System.Management.Automation.PSCredential -ArgumentList $AzureUsername,$SecureString
  $OutputCSV = "$Env:USERPROFILE\desktop\DirSyncProvisioningErrors_$(Get-Date -Format "yyyyMMdd").csv"
  

方案3：Azure托管身份/服务主体（Azure环境运行首选） #

如果脚本是跑在Azure VM、Azure自动化账户、Azure函数等Azure资源上，直接使用托管身份完全不需要存储任何密码：

• 给对应的Azure资源开启系统分配托管身份，给该身份分配Azure AD目录只读权限、Exchange读取权限
• 脚本中直接用托管身份登录：Connect-MsolService -ManagedIdentity，无需任何凭据参数

额外安全建议 #

• 所用的Azure服务账号仅分配拉取日志所需的最小权限，不要分配管理员权限
• 存储加密密码文件的目录设置严格的NTFS访问权限，禁止无关用户读取
• 定期轮换服务账号密码，对应更新凭据管理器或加密文件即可，无需修改脚本代码

内容的提问来源于stack exchange，提问作者NadimAJ