如何用PowerShell以其他用户运行命令？DNS脚本报错排查

首先，你的脚本里存在几个关键问题，既导致了凭据报错，也会让DNS记录修改功能失效，咱们一步步拆解修复：

1. 核心问题：变量传递与命令解析错误 #

你直接把$NewObject、$OldObject这类PowerShell对象拼接进字符串命令里，这完全行不通：

• 当你用$($NewObject)时，PowerShell只会输出对象的字符串类型名（比如Microsoft.Management.Infrastructure.CimInstance#root/Microsoft/Windows/DNS/DnsServerResourceRecord），而不是实际的对象引用
• Start-Process的ArgumentList对复杂命令的解析逻辑很脆弱，尤其是涉及对象参数时，很容易出现语法错误
• 新启动的PowerShell进程完全独立于当前会话，根本访问不到你当前进程里的$NewObject、$ZoneName等变量

2. 凭据报错的潜在原因 #

即便你确认凭据正确，以下场景也会触发"用户名或密码不正确"的错误：

• 账户格式问题：如果是域账户，必须用UPN格式（user@domain.com）或DOMAIN\username格式，不能只填单纯的用户名
• 交互式登录限制：部分域账户会被组策略限制交互式登录权限，而Start-Process默认是以交互式方式启动进程
• 权限上下文混淆：如果操作本地DNS服务器，需使用本地管理员账户；如果是远程DNS服务器，账户必须具备远程管理权限

修复后的脚本示例 #

我们用Base64编码命令来传递复杂逻辑，同时确保变量能正确传入新进程。下面是两种可行的修正方案：

方案一：通过脚本块传递变量 #

param( 
    [ValidateNotNull()] 
    [System.Management.Automation.PSCredential] $Credential = $(Get-Credential) 
)

# 假设你已提前获取了有效的NewObject、OldObject、ZoneName
$scriptBlock = {
    param($NewObj, $OldObj, $Zone)
    Set-DnsServerResourceRecord -NewInputObject $NewObj -OldInputObject $OldObj -ZoneName $Zone
}

# 将脚本块转为Base64编码，避免解析错误
$encodedCommand = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($scriptBlock.ToString()))

# 启动新进程执行编码后的命令，同时传递变量参数
Start-Process -FilePath powershell.exe -NoNewWindow -Credential $Credential -ArgumentList "-EncodedCommand $encodedCommand -Command `"& {`$args[0].Invoke(`$args[1],`$args[2],`$args[3])}`"", $scriptBlock, $NewObject, $OldObject, $ZoneName

方案二：直接嵌入序列化后的对象值 #

param( 
    [ValidateNotNull()] 
    [System.Management.Automation.PSCredential] $Credential = $(Get-Credential) 
)

# 将对象序列化为JSON，嵌入到命令字符串中
$commandString = @"
`$NewObject = [Microsoft.Management.Infrastructure.CimInstance]::CreateFromJson('$($NewObject | ConvertTo-Json -Depth 10)')
`$OldObject = [Microsoft.Management.Infrastructure.CimInstance]::CreateFromJson('$($OldObject | ConvertTo-Json -Depth 10)')
Set-DnsServerResourceRecord -NewInputObject `$NewObject -OldInputObject `$OldObject -ZoneName '$ZoneName'
"@

# 编码命令避免解析问题
$encodedCommand = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($commandString))

Start-Process -FilePath powershell.exe -NoNewWindow -Credential $Credential -ArgumentList "-EncodedCommand $encodedCommand"

额外检查项 #

• 验证对象有效性：用$NewObject | Get-Member确认它是合法的DnsServerResourceRecord对象
• 手动测试权限：用目标凭据登录DNS服务器，手动执行Set-DnsServerResourceRecord命令，确认账户确实有编辑权限
• 远程服务器检查：如果操作远程DNS，确保目标服务器启用了WinRM，且账户具备远程管理权限（可通过Test-WSMan <DNS服务器名>测试）

内容的提问来源于stack exchange，提问作者mTv