从父域服务器使用子域凭据运行PowerShell安全扫描脚本时的权限与配置问题

让我一步步帮你拆解这些问题，解决你的跨域PowerShell扫描难题：

一、子域账户在父域服务器无本地权限的影响 #

首先你不用太担心这个——任务计划在父域服务器上运行时，只需要这个子域账户具备父域服务器的登录权限（不需要本地管理员权限），就能正常启动脚本。日志里提到的“无本地管理员权限”，指的是该账户在父域本地的权限，但这完全不影响脚本远程连接子域机器的操作。因为当脚本远程访问子域电脑时，用的是子域账户在子域内的权限（你已经给了子域机器的管理员权限），和它在父域的权限无关。

二、计算机名使用短名还是FQDN的问题 #

必须用**完整的FQDN（完全限定域名）**来指定目标机器！比如写成COMPUTER.ChildDomain.ParentDomain.com而不是短名COMPUTER。

跨域环境下，短名很容易被DNS错误解析到父域的机器，或者直接无法定位到子域目标。你看到的COMPUTERNAME.LOCAL是默认的本地域解析规则，换成子域的完整FQDN后，就能精准指向子域内的机器，避免连接错误。

三、跨父域到子域运行脚本的关键配置 #

要确保以下几点配置到位：

• 域信任关系：默认父域和子域是双向信任的，但建议确认一下信任是否正常（可以在AD域控制器的“Active Directory域和信任关系”里检查）。双向信任是跨域身份验证的基础。
• WinRM服务配置：PowerShell远程依赖WinRM，子域的目标机器必须启用并配置WinRM：

  Enable-PSRemoting -Force
  

  同时要确保防火墙允许WinRM的默认端口（5985 HTTP、5986 HTTPS）。
• 父域服务器的WinRM信任配置：为了避免连接子域机器时的信任提示，在父域服务器上运行：

  Set-Item WSMan:\localhost\Client\TrustedHosts -Value "*.ChildDomain.ParentDomain.com" -Concatenate
  

  这样就能信任所有子域的机器。

四、自动化处理-AltCredential参数的方案 #

硬编码密码和手动UAC弹窗都不适合自动化场景，这里有两个安全可靠的解决办法：

1. 继承任务计划的运行凭据：既然任务计划已经用了子域的扫描账户，你可以修改脚本，去掉-AltCredential参数的手动输入逻辑。当脚本执行远程操作时，会自动继承任务计划的运行凭据（也就是子域的扫描账户），而这个账户在子域机器上有管理员权限，完全能正常执行扫描。这是最简单的方案。
2. 使用加密凭据文件：如果必须保留-AltCredential参数，可以先把凭据加密保存到文件：
   • 用子域扫描账户登录父域服务器，运行：

     Get-Credential | Export-Clixml -Path "C:\Scripts\ScanCreds.xml"
     

     这个文件是用当前账户的加密密钥生成的，只有该子域账户能解密，安全性有保障。
   • 在脚本里读取凭据：

     $scanCred = Import-Clixml -Path "C:\Scripts\ScanCreds.xml"
     

     然后把$scanCred传给-AltCredential参数即可。

备注：内容来源于stack exchange，提问作者JukEboX