powershell 管理凭据的核心是分层保护：交互式用 get-credential 生成 pscredential 对象；本地复用用 export-clixml 加密导出；系统级存储用 credentialmanager 模块；现代流水线用 secretmanagement + secretstore 多后端支持。
powershell 提供了多种方式来管理 windows 加密密钥与凭据存储，核心在于平衡安全性与可用性。直接硬编码密码不可取，而明文保存或随意导出也违背最小权限原则。真正实用的做法是结合系统级安全机制（如 windows 凭据保管库、secretmanagement 模块）和 powershell 原生对象（pscredential、securestring）构建分层保护。
用 Get-Credential 交互式获取凭据
适合一次性或临时任务，避免凭据落地。运行 $cred = Get-Credential 会弹出标准 Windows 凭据窗口，输入后生成 PSCredential 对象，其中密码自动转为 SecureString 类型。
- 可自定义提示文本：
Get-Credential -Message "请输入域管理员凭据用于创建用户" - 预填用户名：
Get-Credential -UserName "admin@contoso.com" - 该对象可直接传给支持
-Credential参数的 cmdlet，如Set-ADUser -Credential $cred
用 Export-Clixml 安全导出凭据到本地文件
适用于需重复调用但不跨设备的自动化场景。导出时凭据会被加密，且加密绑定当前用户+当前计算机，其他人或换机后无法读取。
Windows-Android_SSH_Remote_Control
下载
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
- 导出：
$cred | Export-Clixml C:\Scripts\ad-admin.xml - 导入：
$cred = Import-Clixml C:\Scripts\ad-admin.xml - 注意：文件需设为仅当前用户可读（NTFS 权限），不要放入共享目录或版本控制
集成 Windows 凭据保管库（Credential Manager）
利用操作系统原生凭据存储，比文件更可靠，且支持图形界面管理。需先安装 CredentialManager 模块：
- 安装：
Install-Module CredentialManager -Force - 存入：
New-StoredCredential -Target "MyApp-Prod" -UserName "svc-prod" -Password "xxx" - 读取：
$cred = Get-StoredCredential -Target "MyApp-Prod" - 所有操作均通过 Windows DPAPI 加密，无需额外密钥管理
使用 SecretManagement + SecretStore 扩展方案
面向现代自动化流水线，支持多后端（Azure Key Vault、KeePass、本地 SecretStore）。默认的 Microsoft.PowerShell.SecretStore 是轻量本地加密仓库：
- 初始化：
Register-SecretVault -Name MyLocalVault -ModuleName Microsoft.PowerShell.SecretStore -DefaultVault - 存密钥：
Set-Secret -Name "SqlAdminCred" -Secret $cred - 取密钥：
$cred = Get-Secret -Name "SqlAdminCred" - 首次使用会要求设置解锁密码，之后由系统缓存并自动解密
