| 现象 | 第一跳成功、第二跳访问网络资源报“拒绝访问” |
|---|---|
| 方案 | CredSSP（简单但有风险）、约束委派（更安全）、逐跳显式建会话 |
| 推荐 | 能用约束委派就别用 CredSSP |
常用示例
常用示例
# CredSSP 客户端启用（谨慎评估）
Enable-WSManCredSSP -Role Client -DelegateComputer 'srv-b.corp.local'
# 目标端
Enable-WSManCredSSP -Role Server
# 使用时显式开启
Invoke-Command -ComputerName srv-a -Authentication Credssp -Credential (Get-Credential) -ScriptBlock { Get-ChildItem \\srv-b\share }CredSSP 会把凭据转发到目标机，目标被攻破等于凭据泄露；优先 Kerberos 委派与最少权限设计。