powershell远程执行需用-credential参数指定pscredential对象，最安全方式是get-credential交互获取；自动化脚本中可用convertto-securestring+new-object构造，但明文密码仅限测试，生产环境应使用export-clixml加密或secretmanagement模块。
powershell 远程执行时，通过 -credential 参数指定管理凭据，本质是让远程操作以另一个用户身份运行，尤其适用于当前登录账户权限不足的场景（比如普通域用户要执行需要域管理员权限的 ad 操作）。
关键点在于：凭据对象必须是 PSCredential 类型，不能直接传用户名密码字符串。
如何创建 PSCredential 对象
最常用、最安全的方式是交互式获取：
-
弹出窗口输入：
$cred = Get-Credential -
预填用户名并自定义提示文字：
$cred = Get-Credential -UserName "contoso\admin" -Message "请输入域管理员密码"
自动化脚本中需避免交互，可非交互式构造：
- 先将明文密码转为安全字符串：
$pw = ConvertTo-SecureString "P@ssw0rd123" -AsPlainText -Force - 再组合成凭据对象：
$cred = New-Object System.Management.Automation.PSCredential("contoso\admin", $pw)
⚠️ 注意：硬编码明文密码存在严重安全风险，仅限测试环境临时使用；生产环境应改用 Export-Clixml 加密保存（仅限本机本用户可用）或 SecretManagement 模块对接安全保管库。
在远程命令中传入 Credential 参数
几乎所有支持远程操作的 cmdlet 都接受 `-Credential` 参数，常见用法如下：
在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。
-
Invoke-Command（执行远程脚本块）：
Invoke-Command -ComputerName SRV01 -ScriptBlock { Get-Service Spooler } -Credential $cred -
Enter-PSSession（进入交互式远程会话）：
Enter-PSSession -ComputerName SRV01 -Credential $cred -
Get-WmiObject / Get-CimInstance（查询远程 WMI/CIM）：
Get-CimInstance -ClassName Win32_BIOS -ComputerName SRV01 -Credential $cred -
AD 模块命令（如 Set-ADUser）：
Set-ADUser -Identity "jdoe" -Title "Engineer" -Credential $cred
? 提示：`-Credential` 是可选参数；若省略，PowerShell 默认使用当前会话的登录凭据。
哪些情况必须用 Credential？
并非所有远程操作都需要显式传凭据，但以下典型场景必须指定：
- 目标计算机不在同一域，或当前用户无本地管理员权限
- 执行需要更高权限的操作（如修改组策略、重启服务、创建 AD 对象）
- 跨林访问，且未配置信任关系或 Kerberos 约束委派
- 使用非交互式账号（如服务账号）运行自动化任务
如果只传 `-ComputerName` 却没传 `-Credential`，而当前用户无权限，通常会报错：Access is denied 或 The WinRM client cannot process the request。
注意事项与限制
使用 `-Credential` 并不等于自动解决“第二跃点”问题（例如：从 A 连 B，再从 B 连 C）。此时需额外配置，如：
- CredSSP（需客户端和服务端都启用，有安全风险）
- 基于资源的 Kerberos 约束委派（推荐，需域环境支持）
- 避免在远程会话内再次调用需提权的命令，除非已提前配置好委派
另外，`Export-Clixml` 加密的凭据文件只能由创建它的用户、在同一台机器上解密，无法跨机器或共享给其他账户。
