从 Windows 服务进行 PowerShell 远程处理

Question

我有一个 Windows 服务，它通过WsManConnectionInfo/RunspaceFactory 定期在远程计算机上运行 PowerShell 脚本（按照本文中的步骤：Remotely Executing Commands in PowerShell using C#）：

var connectionInfo = new WSManConnectionInfo(false, server, 5985, "/wsman",
                                             "http://schemas.microsoft.com/powershell/Microsoft.PowerShell",
                                             cred)
                        {
                            OperationTimeout = 4*60*1000,
                            OpenTimeout = 1*60*1000
                        };
using (var runSpace = RunspaceFactory.CreateRunspace(connectionInfo))
{
    runSpace.Open();
    using (var p = runSpace.CreatePipeline())
    {
        p.Commands.AddScript(script);
        var output = p.Invoke();
        ...
    }
}

现在，如果我使用 管理员帐户 运行 Windows 服务本身，一切都很好。但是，如果我使用 LocalSystem 帐户运行服务，则会出现以下异常；

System.Management.Automation.Remoting.PSRemotingTransportException:
    Connecting to remote server NOSRVDEV02 failed with the following error message :
        WinRM cannot process the request. The following error with
        errorcode 0x8009030d occurred while using Negotiate authentication:
        A specified logon session does not exist. It may already have been terminated.

    Possible causes are:
        -The user name or password specified are invalid.
        -Kerberos is used when no authentication method and no user name are specified.
        -Kerberos accepts domain user names, but not local user names.
        -The Service Principal Name (SPN) for the remote computer name and port does not exist.
        -The client and remote computers are in different domains and there is no trust between the two domains.

    After checking for the above issues, try the following:
        -Check the Event Viewer for events related to authentication.
        -Change the authentication method; add the destination computer to the WinRM TrustedHosts configuration setting or use HTTPS transport.
         Note that computers in the TrustedHosts list might not be authenticated.
        -For more information about WinRM configuration, run the following command: winrm help config. For more information, see the about_Remote_Troubleshooting Help topic.

    at System.Management.Automation.Runspaces.AsyncResult.EndInvoke()
    at System.Management.Automation.Runspaces.Internal.RunspacePoolInternal.EndOpen(IAsyncResult asyncResult)
    at System.Management.Automation.RemoteRunspace.Open()
    ...

注意：这与 WSManConnectionInfo 中的凭据无关 - 只是服务属性“登录”选项卡中的帐户设置。

我不想授予服务管理员权限。知道 LocalSystem 用户无法登录的原因吗？

附加信息：

• 远程计算机不是域的成员。
• 我尝试通过 IP 地址和主机名进行连接（两者都在本地计算机的TrustedHosts 中列出）。

编辑：更多信息（cmets 总结）：

• 本地计算机：Windows 7 Ultimate 64bit（Windows 8 机器上的虚拟机）。
• 远程计算机：Windows Server 2008R2 Datacenter 64bit。
• 我们不想更改服务用户帐户的主要原因是，这是对已部署在许多客户端（客户）上的旧服务的更新。
• 该服务还访问 Windows 注册表和本地计算机上的文件系统，因此将用户帐户设置为更多限制，例如 NetworkService，只会打开不同的蠕虫罐。李>

Answer 1

对此有一个相当令人惊讶的解决方案：PSCredential 对象 (cred) 中的用户名需要以无域远程计算机的名称作为前缀，例如“MYREMOTESERVERNAME\remoteusername”，而不仅仅是“remoteusername”。

我不知道为什么只有在连接 LocalSystem 帐户时才需要前缀...