windows - 运行批处理文件，运行 PowerShell 文件，运行批处理文件...以管理员身份

Question

这听起来很荒谬，但我有一个启动 PowerShell 文件的批处理文件(只需右键单击批处理文件并“以管理员身份运行”会更容易)，这取决于 PowerShell 文件中的某些参数，可以运行做一些事情的不同批处理文件。

.bat -> .ps1 -> .bat

这是必要的，因为除了我之外还有其他人编写和管理这个其他批处理文件。我无法将它正在做的事情合并到我自己的脚本中。

照原样，运行我的批处理文件确实是以管理员身份运行我的 PowerShell 脚本。它会继续以管理员身份继续并运行嵌套的批处理文件吗？它有多深？你有没有“失去”管理员？

Answer 1

是的，它会继续进行，在大多数情况下，这取决于您的进程在做什么，但答案通常是否定的——它不会失去管理员权限。这里的关键区别在于您的脚本是否保留在本地。

如果是本地的，那么是的，管理员上下文将为从初始提升的进程派生的进程保留。

如果您的代币通过网络传播，则视情况而定。已提升的帐户是否也是远程计算机上的管理员？那么是的，它将继续以管理员身份运行。如果本地用户在远程机器上没有管理权限，则可能与远程主机交互但不执行管理任务(取决于本地管理员是否在远程机器上具有“用户”权限)。

如果您有本地主机 (A) 和远程主机(B 和 C)，并且来自主机 A 的脚本(具有管理员权限)尝试在主机 B 上执行一系列命令。如果这些命令中的任何一个从主机发出B 到任何其他远程主机(例如主机 C)，那么这将因其他原因而失败。出现此问题的原因是 Windows 如何执行 NTLM/Kerberos 身份验证并存储这些凭据以进行单点登录。

假设在主机 A 上成功进行初始本地身份验证，将在存储和维护的内存中创建一个安全 token ，这样任何需要身份验证的东西都可以重新使用该 token ，而无需重新提示用户输入凭据。深入了解这个过程超出了这个问题的范围，但只要了解主机 A 拥有该 token 并可以将其呈现给远程资源进行身份验证，远程主机就不会获得它的副本。意思是，主机 A 可以让主机 B 信任它(假设已授予权限)，但主机 B 没有机制向任何其他主机(例如主机 C)提供相同的身份验证 token ——为了更详细的解释，这称为“双跳”问题。 https://blogs.technet.microsoft.com/askds/2008/06/13/understanding-kerberos-double-hop/