使用PowerShell Invoke-Command在Hyper-V虚拟机运行程序部分挂起

• 运行基础环境
  • 宿主机操作系统：Windows 10
  • Hyper-V虚拟机配置：第1代Windows 10客户机
  • 调用方式：通过PowerShell的Invoke-Command -VMName MY_VM -Credential $Cred，在虚拟机内的ScriptBlock中指定待执行的程序
• 实测结果
  • 执行脚本块{ calc }时，可在虚拟机桌面正常看到计算器UI窗口
  • 执行脚本块{ mspaint }、或任意自研第三方程序时，进程仅在虚拟机任务管理器中驻留，无对应UI窗口弹出，程序未完成正常运行流程
  • 多次调整CLI调用参数、更换测试程序，结果无变化

• 会话隔离机制的天然限制
  Hyper-V通道下的Invoke-Command执行上下文，默认依托虚拟机内的WinRM服务运行，处于独立的非交互式系统会话（通常为会话ID 0、或WinRM专属的隔离会话）中，该会话没有绑定任何已登录用户的窗口站（Window Station）与交互桌面对象，不具备创建可见桌面窗口的权限。
  计算器程序可以正常显示的核心原因是：Windows 10内置的calc为UWP打包应用，启动逻辑内置了跨会话转发机制——当非交互会话触发calc启动时，系统会将请求转发给当前登录交互会话中的explorer.exe进程，由explorer在绑定用户桌面的上下文内拉起真正的calc UI。
  而mspaint属于传统Win32程序，自研第三方程序也无UWP类的跨会话窗口转发能力，启动后因为所在会话没有关联交互桌面，只能驻留进程，无法弹出可见窗口。
• 附加触发因素
  • 多数自研程序启动时会触发UAC提权校验，非交互式会话本身没有UAC弹窗的展示通道，会导致提权流程阻塞，进程驻留但无法完成初始化
  • ScriptBlock内引用的第三方程序如果依赖当前登录用户的环境变量（如存放在用户AppData路径下的程序），非交互会话的环境变量与登录用户环境变量不匹配，会导致程序依赖加载异常，无法正常渲染UI

• 可在虚拟机内执行query session命令，查看通过Invoke-Command拉起的进程所属会话ID，验证其是否与当前登录的用户会话分离
• 如需正常拉起带UI的程序，需调整启动方式：要么创建绑定当前登录用户交互会话的即时触发计划任务执行程序，要么通过具备交互会话绑定能力的工具指定目标会话ID启动进程

内容的提问来源于stack exchange，提问作者Alex