使用PowerShell执行Invoke-Command命令时遭遇拒绝访问错误

这个“拒绝访问”的坑我之前帮不少同行排查过，本质是远程执行+共享访问的权限链出了问题，咱们一步步拆解解决：

1. 先掐住共享与NTFS权限的核心 #

你要访问的\\Ny-wnorales\c$是系统默认的管理员共享，它的权限默认只开放给本地管理员组。这里要同时盯两个权限：

• 你执行Invoke-Command时用的账户，必须在Ny-wnorales机器的本地管理员组里；
• 还要检查CitrixReceiver 4.10.exe所在目录的NTFS权限，确保该账户有读取+执行的权限——哪怕共享权限给了，NTFS权限卡壳照样报错。

2. 解决“双跳”身份凭证传递问题 #

这是远程执行最容易踩的坑：当你从本地机器→NY-TRAINING→Ny-wnorales访问共享时，Windows默认不会把你的身份凭证传递第三跳（也就是“双跳问题”）。

最直接的两个解决办法：

• 绕开共享访问：先把安装包复制到NY-TRAINING本地，再启动，彻底避开跨机器共享的权限问题：

  Invoke-Command -ComputerName NY-TRAINING -ScriptBlock {
      # 先创建临时目录（如果不存在）
      if (-not (Test-Path 'C:\Temp')) { New-Item 'C:\Temp' -ItemType Directory -Force }
      # 复制安装包到本地
      Copy-Item -Path '\\Ny-wnorales\c$\CitrixReceiver 4.10.exe' -Destination 'C:\Temp\CitrixReceiver.exe' -Force
      # 启动本地安装包
      Start-Process 'C:\Temp\CitrixReceiver.exe' -Wait
  }
  

• 配置约束性委派：如果必须用共享路径，需要域管理员给你的执行账户在NY-TRAINING机器上配置SMB服务的约束性委派（仅适用于域环境）。

3. 给Start-Process加上必要的权限参数 #

如果Citrix Receiver安装包需要管理员权限，远程执行时默认的Start-Process可能无法自动提升权限，你得加上-Verb RunAs参数——前提是你的账户在NY-TRAINING上有管理员权限：

Invoke-Command -ComputerName NY-TRAINING -ScriptBlock {
    Start-Process '\\Ny-wnorales\c$\CitrixReceiver 4.10.exe' -Verb RunAs -Wait
}

加-Wait是为了让命令等待安装完成，避免后台运行导致后续排查困难。

4. 检查WinRM的基础配置 #

确保NY-TRAINING机器的WinRM服务是正常配置的：

• 可以远程执行Invoke-Command -ComputerName NY-TRAINING -ScriptBlock { winrm quickconfig -quiet }来快速确认配置；
• 检查WinRM客户端的信任主机列表，确保你的本地机器在允许范围内：winrm get winrm/config/client。

5. 排除防火墙与网络限制 #

有时候防火墙会阻断SMB共享的445端口，导致NY-TRAINING无法访问Ny-wnorales的共享。你可以先在NY-TRAINING机器上手动访问\\Ny-wnorales\c$，如果手动都连不上，先去排查两台机器之间的防火墙规则。

快速测试技巧 #

先在NY-TRAINING机器上手动登录，尝试运行\\Ny-wnorales\c$\CitrixReceiver 4.10.exe：

• 如果手动运行也报错，那就是共享/NTFS权限或网络问题；
• 如果手动能成功，那肯定是远程执行时的身份传递或WinRM配置问题。

内容的提问来源于stack exchange，提问作者Will Norales