无信任关系场景下如何用PowerShell验证远程域用户凭据

以下方案兼容PowerShell 4及以上版本，无需域信任关系即可验证远程域账号有效性。

方案1：System.DirectoryServices.AccountManagement兼容写法 #

PowerShell 4不支持::new()静态构造语法，改用New-Object实例化对象即可解决报错，无信任域验证时需明确指定远程域标识：

# 加载所需程序集
Add-Type -AssemblyName System.DirectoryServices.AccountManagement

# 替换为远程域的NETBIOS名或FQDN，例如"contoso.com"
$remoteDomain = "目标远程域名"
# 输入待验证的凭据，也可通过代码直接赋值
$cred = Get-Credential -Message "输入远程域账号（格式：域名\用户名 或 用户名@域名）"

# 实例化域上下文对象（PS4兼容写法）
$context = New-Object -TypeName System.DirectoryServices.AccountManagement.PrincipalContext -ArgumentList @(
    [System.DirectoryServices.AccountManagement.ContextType]::Domain,
    $remoteDomain
)

# 验证凭据有效性，返回$true为验证通过，$false为失败
$isValid = $context.ValidateCredentials($cred.UserName, $cred.GetNetworkCredential().Password)

方案2：Win32 LogonUser API实现（兼容性更强） #

如果.NET程序集加载失败，可调用系统原生LogonUser API验证，该方法验证的网络凭据可直接用于后续共享文件夹访问，适配性更高：

# 定义Win32 API签名
Add-Type @"
using System;
using System.Runtime.InteropServices;
public class Win32Auth {
    [DllImport("advapi32.dll", SetLastError = true)]
    public static extern bool LogonUser(
        string lpszUsername,
        string lpszDomain,
        string lpszPassword,
        int dwLogonType,
        int dwLogonProvider,
        out IntPtr phToken
    );
    [DllImport("kernel32.dll", SetLastError = true)]
    public static extern bool CloseHandle(IntPtr hObject);
}
"@

$cred = Get-Credential -Message "输入远程域账号（格式：域名\用户名 或 用户名@域名）"
# 拆分域名和用户名
if ($cred.UserName.Contains("@")) {
    $userPart = $cred.UserName.Split("@")[0]
    $domainPart = $cred.UserName.Split("@")[1]
} elseif ($cred.UserName.Contains("\")) {
    $userPart = $cred.UserName.Split("\")[1]
    $domainPart = $cred.UserName.Split("\")[0]
} else {
    throw "用户名必须包含远程域标识，格式为 域名\用户名 或 用户名@域名"
}

$token = [IntPtr]::Zero
# LOGON32_LOGON_NETWORK=3 对应网络登录类型，匹配共享访问的认证逻辑
$logonResult = [Win32Auth]::LogonUser($userPart, $domainPart, $cred.GetNetworkCredential().Password, 3, 0, [ref]$token)

if ($logonResult) {
    $isValid = $true
    # 关闭令牌句柄避免资源泄漏
    [Win32Auth]::CloseHandle($token) | Out-Null
} else {
    $isValid = $false
}

注意事项 #

• 无信任域环境下需确保本机可正常解析远程域域名、连通对应域控的389（LDAP）或445（SMB）端口
• 验证失败后请勿高频重试，建议累计失败不超过3次，避免触发远程域账号锁定策略
• 验证通过的凭据可直接通过New-PSDrive或net use命令挂载远程共享文件夹使用

内容的提问来源于stack exchange，提问作者Norskyi