无法使 CredSSP 身份验证在 PowerShell 中起作用

Question 1

短暂的休息后，我又回来用全新的眼光（我和同事的眼光）重新审视这个问题，并决定重新回到基础：

在客户端我执行了（在管理员shell中）：

enable-wsmancredssp -role client -delegatecomputer devremvm03 -force

在服务器上我执行了（在管理员shell中）：

enable-wsmancredssp -role server -force

两者均返回正常输出，表明 CredSSP 现在为“真”。

然后我使用以下练习代码来逐步提高复杂程度：

$block = {
  Write-Host ("hello, world: {0}, {1}" -f $env:USERNAME, (hostname))
}
$username = "test_user"
$password = "..."   
$adjPwd = $password | ConvertTo-SecureString -asPlainText -Force
$testCred = (New-Object System.Management.Automation.PSCredential($username,$adjPwd))    

switch ($choice)
{
  "basic"       { Invoke-Command $block }
  "remote"      { Invoke-Command $block -computername $serverName }
  "credentialA" { Invoke-Command $block -computername $serverName -credential $testCred  }
  "credentialB" { Invoke-Command $block -computername $serverName -credential $testCred  -Authentication Credssp}
  "session"     { 
      $testSession = New-PSSession -computername $serverName -credential $testCred -Authentication Credssp
      if ($testSession) { Invoke-Command $block -Session $testSession; Remove-PSSession $testSession }
      }
}

所有这些都在我的 run.ps1 脚本中，因此记录如下（并且运行在非-管理员外壳):

PS C:\> .\run.ps1 basic
hello, world: msorens, MyLocalMachine
PS C:\> .\run.ps1 remote MyRemoteServer
hello, world: msorens, MyRemoteServer
PS C:\> .\run.ps1 credentialA MyRemoteServer
hello, world: test_user, MyRemoteServer
PS C:\> .\run.ps1 credentialB MyRemoteServer
hello, world: test_user, MyRemoteServer
PS C:\> .\run.ps1 session MyRemoteServer
hello, world: test_user, MyRemoteServer

以前，只有 basic、remote 和 credentialA 有效。现在所有 5 个都有效。哇！

Answer

短暂的休息后，我又回来用全新的眼光（我和同事的眼光）重新审视这个问题，并决定重新回到基础：

在客户端我执行了（在管理员shell中）：

enable-wsmancredssp -role client -delegatecomputer devremvm03 -force

在服务器上我执行了（在管理员shell中）：

enable-wsmancredssp -role server -force

两者均返回正常输出，表明 CredSSP 现在为“真”。

然后我使用以下练习代码来逐步提高复杂程度：

$block = {
  Write-Host ("hello, world: {0}, {1}" -f $env:USERNAME, (hostname))
}
$username = "test_user"
$password = "..."   
$adjPwd = $password | ConvertTo-SecureString -asPlainText -Force
$testCred = (New-Object System.Management.Automation.PSCredential($username,$adjPwd))    

switch ($choice)
{
  "basic"       { Invoke-Command $block }
  "remote"      { Invoke-Command $block -computername $serverName }
  "credentialA" { Invoke-Command $block -computername $serverName -credential $testCred  }
  "credentialB" { Invoke-Command $block -computername $serverName -credential $testCred  -Authentication Credssp}
  "session"     { 
      $testSession = New-PSSession -computername $serverName -credential $testCred -Authentication Credssp
      if ($testSession) { Invoke-Command $block -Session $testSession; Remove-PSSession $testSession }
      }
}

所有这些都在我的 run.ps1 脚本中，因此记录如下（并且运行在非-管理员外壳):

PS C:\> .\run.ps1 basic
hello, world: msorens, MyLocalMachine
PS C:\> .\run.ps1 remote MyRemoteServer
hello, world: msorens, MyRemoteServer
PS C:\> .\run.ps1 credentialA MyRemoteServer
hello, world: test_user, MyRemoteServer
PS C:\> .\run.ps1 credentialB MyRemoteServer
hello, world: test_user, MyRemoteServer
PS C:\> .\run.ps1 session MyRemoteServer
hello, world: test_user, MyRemoteServer

以前，只有 basic、remote 和 credentialA 有效。现在所有 5 个都有效。哇！

Question 2

当我必须这样做时，这就是我所做的事情，以使其工作（可能还有一些 GPO 设置，但看起来你已经涵盖了这些）。

要使客户端能够使用 CredSSP 连接到域中的任何机器：

Enable-WSManCredSSP -Role Client -DelegateComputer "*.my.domain.com" -Force | out-null
#the following is used because -delegatecomputer (above) doesn't appear to actually work properly.
Set-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\Credssp\PolicyDefaults\AllowFreshCredentialsDomain -Name WSMan -Value "WSMAN/*.my.domain.com"

然后我在每台目标机器（服务器）上运行以下命令以启用 CredSSP 身份验证：

Connect-WSMan -ComputerName $computer 
Set-Item "WSMAN:\$computer\service\auth\credssp" -Value $true

这当然要求您以适当的权限运行脚本。这对我来说很有效——我希望它能帮到你。

Answer