基于证书认证，C#用WSManConnectionInfo配置远程PowerShell问题排查

• 证书指纹不匹配/格式错误：代码中使用的证书指纹可能带空格、大小写错误，或者和远程WinRM监听器绑定的证书、远程存储中的客户端证书指纹不一致；也可能误把证书Subject当成Thumbprint使用。
• 证书存储位置错误：HostPC的客户端证书没放在CurrentUser\My或LocalMachine\My（WinRM默认扫描的存储区）；远程PC的服务器证书未存放在LocalMachine\My，导致监听器无法找到。
• WinRM用户映射失效：客户端证书的指纹/颁发者未正确关联到远程PC的本地用户，认证时凭据无法被识别。
• WinRM监听器配置异常：HTTPS监听器未正确绑定有效证书，或者证书认证未启用；服务器证书过期、主机名不匹配也会导致认证失败。

1. 核对证书指纹与存储位置 #

• 在HostPC上执行PowerShell命令，找到客户端证书并复制无空格的精确Thumbprint：

  Get-ChildItem Cert:\CurrentUser\My | Format-List Thumbprint, Subject
  

• 在远程PC上，验证服务器证书和监听器绑定的指纹是否一致：

  # 查看WinRM监听器的证书指纹
  winrm e winrm/config/listener
  # 对比本地存储的证书指纹
  Get-ChildItem Cert:\LocalMachine\My | Format-List Thumbprint, Subject
  

2. 修正C#代码中的证书加载逻辑 #

确保从正确的存储区加载证书，且指纹格式正确：

using System.Security.Cryptography.X509Certificates;
using System.Management.Automation;
using System.Management.Automation.Runspaces;

// 打开当前用户的个人证书存储
var store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
store.Open(OpenFlags.ReadOnly);

// 用无空格的指纹查找证书
var targetThumbprint = "AA11BB22CC33DD44EE55FF6677889900AABBCCDD";
var certs = store.Certificates.Find(
    X509FindType.FindByThumbprint,
    targetThumbprint,
    false // 若为自签名证书，设为false跳过链验证
);

if (certs.Count == 0)
{
    throw new InvalidOperationException("未找到指定的客户端证书");
}

// 构建WSMan连接信息
var connectionInfo = new WSManConnectionInfo(
    new Uri("https://远程PC_IP或主机名:5986/wsman"),
    "http://schemas.microsoft.com/powershell/Microsoft.PowerShell",
    certs[0]
);
connectionInfo.AuthenticationMechanism = AuthenticationMechanism.Certificate;

// 创建并打开Runspace
using var runspace = RunspaceFactory.CreateRunspace(connectionInfo);
runspace.Open();

3. 重新配置WinRM用户映射 #

在远程PC上执行以下命令，将客户端证书指纹绑定到本地用户：

# 创建证书-用户映射（替换占位符）
winrm create winrm/config/clientcertificate/mapping[@Thumbprint="客户端证书无空格指纹"] @{UserName="远程PC本地用户名"}

# 验证映射是否生效
winrm get winrm/config/clientcertificate/mapping

4. 重建WinRM HTTPS监听器 #

在远程PC上清理旧监听器，重新绑定有效证书：

# 删除原有HTTPS监听器
winrm delete winrm/config/listener?Address=*+Transport=HTTPS

# 创建新的HTTPS监听器（替换主机名和证书指纹）
winrm create winrm/config/listener?Address=*+Transport=HTTPS @{Hostname="远程PC主机名"; CertificateThumbprint="服务器证书无空格指纹"}

# 启用证书认证
winrm set winrm/config/service/auth @{Certificate="true"}

5. 修复证书信任问题 #

• 若使用自签名证书：
  • 在HostPC上，将远程PC的服务器证书导入CurrentUser\TrustedRootCertification Authorities存储区；
  • 在远程PC上，将HostPC的客户端证书导入LocalMachine\TrustedPeople存储区。

内容的提问来源于stack exchange，提问作者NeoGenesis521