为什么 Invoke-Command { net localgroup } 失败？答案

【问题标题】：Why does Invoke-Command { net localgroup } fail?为什么 Invoke-Command { net localgroup } 失败？
【发布时间】：2017-05-30 15:23:33
【问题描述】：

我可以在远程机器上成功使用NET USE 和NET USER 命令。为什么不NET LOCALGROUP？

PS C:\src\powershell> Invoke-Command -ComputerName OTHERMACHINE -ScriptBlock { & NET LOCALGROUP }
System error 1312 has occurred.
    + CategoryInfo          : NotSpecified: (System error 1312 has occurred.:String) [], Rem
   oteException
    + FullyQualifiedErrorId : NativeCommandError
    + PSComputerName        : OTHERMACHINE

A specified logon session does not exist. It may already have been terminated.

传递 /USER 参数会产生不同的错误。

PS C:\src\powershell> Invoke-Command -ComputerName OTHERMACHINE -ScriptBlock { & net localgroup /USER:THEDOM\theuser }
The option /USER:THEDOM\theuser is unknown.
    + CategoryInfo          : NotSpecified: (The option /USE...son is unknown.:String) [], R
   emoteException
    + FullyQualifiedErrorId : NativeCommandError
    + PSComputerName        : OTHERMACHINE

The syntax of this command is:
NET LOCALGROUP
[groupname [/COMMENT:"text"]] [/DOMAIN]
              groupname {/ADD [/COMMENT:"text"] | /DELETE}  [/DOMAIN]
              groupname name [...] {/ADD | /DELETE} [/DOMAIN]
More help is available by typing NET HELPMSG 3506.

【问题讨论】：

您是否尝试使用 net 命令（通过 /user:Domain\username）传递用户名？
@PeterSchneider - 是的，它会产生不同的错误输出。
你看到this...吗？

标签： powershell

【解决方案1】：

我相信这是双跳问题。如果您尝试在使用Enter-PSSession 创建的会话中执行net localgroup administrators，您会得到同样的错误：“系统错误1312 已发生。”和“指定的登录会话不存在。它可能已经终止。”

net.exe 正在尝试重新验证，但它无法重用会话的凭据。您可能会成功使用 CredSSP，这需要一些设置，而且 IIRC 可能会产生安全隐患。你必须enable CredSSP on the remote system and local system, and then delegate correctly。即便如此，我也看到关于这项工作的相互矛盾的报告。甚至可能有security policies 阻止它。

就我个人而言，我根本不会使用net.exe。对于如此基本的东西，有太多的障碍要跳过。你可以retrieve the members of a local group remotely via the ADSI provider，这可能更容易，也更有可能工作。

【讨论】：

是的，我之前尝试过Enter-PSSession 并得到了相同的结果。哪些NET 命令有效，哪些无效，这似乎很奇怪。无论如何，使用 [ADSI] 会更 PoSh。我会将此作为答案，因为似乎没有更好的解释。