Windows计划任务场景下，如何以远程特权账户身份提权执行分离的PowerShell脚本

我来帮你梳理下这个场景的完整解决方案，核心就是把低权限运行的A脚本和需要远程特权的B脚本做好权限隔离，同时安全传递凭据与参数，步骤如下：

一、提前准备：安全存储远程特权账户凭据 #

因为计划任务用的是低权限账户MYDOMAIN\C，不能明文写密码，我们先用这个账户登录本地服务器，生成加密的凭据文件（只有MYDOMAIN\C能解密）：

# 运行后输入MYDOMAIN\D的密码
$credential = Get-Credential MYDOMAIN\D
# 把凭据加密保存到安全路径，比如C:\Scripts\（确保MYDOMAIN\C有读取权限）
$credential | Export-Clixml -Path "C:\Scripts\RemoteAdminCreds.xml"

二、编写A.ps1脚本（低权限运行） #

在A脚本里生成需要传递的两个参数，读取加密凭据，然后调用B脚本：

# 1. 生成业务逻辑需要的两个参数（这里用示例值，你替换成自己的逻辑）
$taskParam1 = "ValueFromA_1"
$taskParam2 = "ValueFromA_2"

# 2. 读取提前加密的远程特权账户凭据
$remoteAdminCred = Import-Clixml -Path "C:\Scripts\RemoteAdminCreds.xml"

# 3. 调用本地的B.ps1，传递凭据和参数
& "C:\Scripts\B.ps1" -RemoteCredential $remoteAdminCred -Param1 $taskParam1 -Param2 $taskParam2

三、编写B.ps1脚本（处理远程特权操作） #

B脚本接收凭据和参数，用特权账户连接远程服务器执行需要权限的操作：

# 定义脚本参数，确保接收凭据和两个业务参数
param(
    [Parameter(Mandatory=$true)]
    [PSCredential]$RemoteCredential,
    [Parameter(Mandatory=$true)]
    [string]$Param1,
    [Parameter(Mandatory=$true)]
    [string]$Param2
)

# 4. 执行远程特权操作，这里以重启远程服务为例，替换成你的实际任务
Invoke-Command -ComputerName "你的远程服务器名称" -Credential $RemoteCredential -ScriptBlock {
    param($p1, $p2)
    # 这里写需要管理员权限的命令，比如修改注册表、安装软件、管理服务等
    Write-Host "执行远程任务，参数：$p1 | $p2"
    Restart-Service -Name "TargetService" -Force
} -ArgumentList $Param1, $Param2

四、关键注意事项 #

• 执行策略设置：本地服务器需要允许PowerShell运行脚本，用管理员权限执行一次：Set-ExecutionPolicy RemoteSigned（按提示确认）
• 远程服务器WinRM配置：确保远程服务器启用了PowerShell远程，用MYDOMAIN\D账户登录远程服务器执行：Enable-PSRemoting -Force
• 文件权限：加密的凭据文件要放在只有MYDOMAIN\C能读取的路径，避免泄露
• 测试验证：先用MYDOMAIN\C账户手动运行A.ps1，确认能正常触发B脚本并完成远程操作，再配置计划任务

备注：内容来源于stack exchange，提问作者Joel Coehoorn