求助：Windows Server 2012 R2上手动执行Invoke-Command正常，Jenkins代理运行失败

这种场景我之前运维Jenkins时碰到过好几次，核心差异就是手动执行的身份权限和Jenkins代理的运行身份权限/环境不匹配，咱们从几个常见方向逐一排查：

1. 检查Jenkins代理的运行身份 #

你手动操作时用的是win-cm8utd1qfnc\administrator管理员账户，但Jenkins代理默认大概率是用**本地系统账户（Local System）**运行的。本地系统账户访问远程服务器时，会使用服务器的计算机账户（格式为域名\服务器名$），这个账户基本没有远程web.sandbox.MUNGED.com服务器的管理员权限，自然执行不了iisreset这类高权限操作。

解决办法：

• 打开Windows服务管理器，找到你的Jenkins代理服务（通常叫Jenkins Agent或自定义名称）
• 右键→属性→切换到「登录」选项卡
• 选择「此账户」，输入win-cm8utd1qfnc\administrator的凭据，确定后重启服务
• 重新运行Jenkins构建任务测试

2. 远程身份验证的票据问题 #

手动打开的管理员PowerShell会话会自动获取Kerberos票据，能顺利完成远程身份验证，但Jenkins代理的会话可能没有有效票据——尤其是用本地系统账户时，跨机器的NTLM验证会有诸多限制。

解决办法：

• 如果不想修改Jenkins代理的运行身份，可以在Invoke-Command里显式指定管理员凭据（Jenkins里建议用凭据管理存储密码，避免硬编码）：

  $adminCred = Get-Credential -UserName "win-cm8utd1qfnc\administrator" -Message "Enter admin password"
  Invoke-Command -computername web.sandbox.MUNGED.com -scriptblock {iisreset /restart} -Credential $adminCred
  

• 同时要确保Jenkins代理的运行账户在远程服务器上拥有「远程交互式登录」权限（可在远程服务器的本地组策略→计算机配置→Windows设置→安全设置→本地策略→用户权限分配中找到该权限）

3. 检查PowerShell的位数环境 #

Windows系统有32位和64位两个版本的PowerShell，你手动打开的管理员PowerShell默认是64位，但Jenkins代理有时会默认调用32位PowerShell（路径为C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe），部分远程管理命令在32位环境下存在兼容性问题。

解决办法：

• 在Jenkins的构建步骤中，不用默认的「PowerShell」步骤，改用「执行Windows批处理命令」，直接调用64位PowerShell的完整路径：

  C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -Command "Invoke-Command -computername web.sandbox.MUNGED.com -scriptblock {iisreset /restart}"
  

附你手动运行的输出：

PS C:\Users\Administrator> whoami
win-cm8utd1qfnc\administrator
PS C:\Users\Administrator> Invoke-Command -computername web.sandbox.MUNGED.com -scriptblock {iisreset /restart}
Attempting stop...
Internet services successfully stopped
Attempting sta...

内容的提问来源于stack exchange，提问作者antgel