调用命令无法在远程计算机上运行另一个调用命令

Question

我的设置。我有三台PC：MyComp，Server1和Server2，两个类似的脚本使用调用命令RemTest1.ps1，它在远程Server1上调用RemTest2.ps1。RemTest2 使用 invoke-command 在 Server2 上运行脚本块。我使用的是Powershell版本5.1当我运行脚本从MyComp到Server1时，它工作正常。当我从Server1运行到Server2时，它也运行良好。但是，当我从 MyComp 运行到 Server1（必须在 Server2 上运行）时，我收到以下消息：

[服务器2]连接到远程服务器 Server2 失败，出现以下错误消息：WinRM 无法处理请求。使用 Kerberos 身份验证时发生以下错误，错误代码0x8009030e：指定的登录会话不存在。它可能已被终止。

这三台计算机都在同一个域中。我没有管理员权限。我试图将Server2添加到Server1上的TrustedHosts。但没有帮助。我在脚本中添加了用户名的打印，以确保在所有使用域用户的PC上。

如果有人能帮忙解决这个问题，请帮忙。为了重现这个问题，我用我的两个脚本创建了一个非常简单的例子。

RemTest1.ps1

$LocalRepDir  = 'D:\Reps'
$RemoteWrkDir = 'D:\wrk'
$Server1      = 'Server1'

#script block to run on remote Server1
$Run = {
    "Script block from RemTest1"
    $env:COMPUTERNAME + " User = $(whoami)" 
    cd $using:RemoteWrkDir
    ls
    # call script from remote server1
    .\RemTest2.ps1

}

$env:COMPUTERNAME + " RemTest1 User = $(whoami)" | Out-File -FilePath "$LocalRepDir\res.txt"

$Output = @()  # to grab an output from remote servers

$Output = Invoke-Command -ComputerName $Server1 -ScriptBlock $Run
$Output | Out-File -FilePath "$LocalRepDir\res.txt" -Append

RemTest2.ps1

$LocalRepDir  = 'D:\Reps'
$RemoteWrkDir = 'D:\wrk'
$Server2      = 'Server2'

#script block to run on remote Server2
$Run = {
    "Script block from RemTest2"
    $env:COMPUTERNAME +" User = $(whoami)" 
    cd $using:RemoteWrkDir
    ls
}

$env:COMPUTERNAME +" script RemTest2 User = $(whoami)"
$Output = @()  # to grab output from remote servers


$Output = Invoke-Command -ComputerName $Server2 -ScriptBlock $Run
$Output | Out-File -FilePath "$RemoteWrkDir\res.txt

这些脚本的输出

MyComp RemTest1 User = MyDomain\MyLogin
Script block from RemTest1
SERVER1 User = MyDomain\MyLogin


    Directory: D:\wrk


Mode                 LastWriteTime         Length Name            PSComputerName 
----                 -------------         ------ ----            -------------- 
-a---          4/23/2022  12:09 AM            490 RemTest2.ps1    SERVER1        
-a---          4/23/2022  12:06 AM              0 res.txt         SERVER1        
SERVER1 script RemTest2 User = MyDomain\MyLogin

如您所见，我没有收到SERVER2的RemTest2脚本块的输出。相反，我收到了错误信息。请帮帮忙。调用命令

Answer 1

出于安全目的，windows不允许您从远程会话内部传递凭据。

如果您向它传递基于密码的凭证，它可能会工作。我的环境是基于证书的，我从来没有能够让它工作。

您最好让第一台计算机向两台服务器发送相同的命令。

Invoke命令可以同时获取两个机器名。

你也许可以通过ssh来做你正在做的事情，windows现在已经支持了。但是您的命令可能完全不同，仍然需要密码或ssh密钥。

对于第二台计算机的 invoke 命令，您可以尝试...

Invoke-Command -ComputerName $Server2 -ScriptBlock $Run -Credential (get-credential)

此外，您应该将日志附加到第二台服务器上，否则您会覆盖它。或者只是将其打印到屏幕上，初始调用命令也应该保存它的输出。

$Output | Out-File -FilePath "$RemoteWrkDir\res.txt" -Append

但据我所知，你不能做你想要做的事情。

本文解释了它是什么，以及利弊。我强烈建议不要这样做。一般来说，如果您想自动化，您必须在第二个脚本中存储凭据。

https://docs.microsoft.com/en-us/powershell/scripting/learn/remoting/ps-remoting-second-hop?view=powershell-7.2

它还指出，您必须认为一个帐户值得这样做。它非常复杂，应该在100%必要的场景中使用。一个例子是，如果您正在创建一个僵尸网络来大规模传播某些配置。但是对于像mecm这样的工具，这在企业中是不必要的