使用偏远的Powershell查询处理双HOP问题，并使用明文凭据存储

Question

服务器A使用SSIS执行过程步骤来运行PowerShell命令在服务器B上调用Python脚本。然后，Python脚本将通过Windows凭据连接到服务器上的SQL Server。

Invoke-Command -ComputerName ServerB -FilePath '\\ServerB\MyPythonScript.py'

这失败了，因为双跳问题的经典案例。 Windows凭据传递到远程PS会话，但没有传递到SQL连接。

在阅读了有关Double Hop的许多其他答案之后，我尝试使用明文直接使用新的凭据来启动Python脚本。我知道这不是最安全的方法，而是我将其作为概念证明 - 只有在经过证明之后才能查看更安全的方法。

Invoke-Command -ComputerName ServerB -FilePath '\\ServerB\MyPowerShellWrapper.ps1'

mypowershellwrapper.ps1

$Username   = 'BLAH'
$Password   = ConvertTo-SecureString -String 'FOO' -AsPlainText -Force
[pscredential]$cred = New-Object System.Management.Automation.PSCredential ($userName, $Password)
Start-Job -Name PythonJob -Scriptblock {python.exe 'C:\MyPythonScript.py'} -Credential $cred
Wait-Job -Name Pythonjob

这种方法仍然无法正常工作。作业失败，PowerShell返回以下错误消息：启动背景过程时发生了错误。报告的错误：访问被拒绝。

我在这里缺少什么？

Answer 1

从错误消息中，似乎您无法访问路径。

回到双跳问题，为了避免这种情况，我已经在远程计算机中开始使用以下代码进行新的PowerShell执行。

$ credpassword ='我在哪里传递密码从键logger'

$execaccount = [System.Security.Principal.WindowsIdentity]::GetCurrent().Name
$secpwd = ConvertTo-SecureString $credpassword -AsPlainText -Force
$pscreds = New-Object System.Management.Automation.PSCredential($execaccount,$secpwd)

下面的Invoke-Command将在远程计算机中的ScriptBlock的帮助下启动新的PowerShell进程。这将解决双跳问题。

我在设置期间使用了Credssp身份验证

Invoke-Command -ComputerName ServerB -ScriptBlock {powershell -FilePath '\\ServerB\MyPowerShellWrapper.ps1'} -Authentication CredSSP

Answer 2

经过一些摆弄后，我解决了它。

我无法仅通过传递凭据来实现它，尽管这仍然可能是可能的 - 也许我没有正确调整这个想法（我从Microsoft 在这里）

我最终使用了描述的方法在这里相反，这是另一个Microsoft建议的方法（使用Runas使用runas的PsSessionConfiguration）

我在服务器B上设置了一个PowerShell会话，称为“ SQLPASSTHRHTHROUGH”，然后在执行过程任务任务任务任务中创建了一个无模式的单行字符串打电话给它。尽管它是如此混乱，但它不使用包装脚本。

$Username = 'BLAH'; $Password = ConvertTo-SecureString -String 'FOO' -AsPlainText -Force; $cred = New-Object System.Management.Automation.PSCredential ($userName, $Password); Invoke-Command -ComputerName ServerB -Credential $cred -ConfigurationName SQLPassthrough -ScriptBlock {python 'C:\MyPythonScript.py'}