本文介绍在局域网环境下，利用 Windows 11 远程管理 Windows Server 2022 Hyper-V 的配置流程。内容包括 WinRM 服务设置、权限委派及常见连接报错的解决办法，旨在为远程访问提供标准化的操作参考。
前言
在局域网内使用 Windows 11 远程连接并管理 Windows Server 2022 的 Hyper-V 虚拟机是常见的应用场景。
由于跨系统远程管理涉及安全策略限制，需要手动配置相关权限以确保连接通道的正常建立。
配置重点在于开启 WinRM 服务、设置受信任主机列表以及调整本地组策略中的凭据委派规则。
系统环境中的脚本引擎状态或防火墙规则设置会直接影响远程连接初始化的成功率。
本文梳理了实现远程管理的技术细节，并针对过程中可能出现的报错提供了相应的解决方法。
重要提示：文中涉及的命令都是在 PowerShell 窗口中执行
远程管理环境配置流程
本节介绍在非域环境下，通过在服务端与客户端之间建立信任关系与凭据委派机制实现远程连接的操作方案。
1. 远程服务器端配置 (Remote Server)
本节介绍在被控端服务器上启用 Hyper-V 核心组件、初始化 WinRM 远程管理服务以及设定受信任主机的操作步骤。
- 执行 PowerShell 命令安装 Hyper-V 核心组件及管理工具。
Install-WindowsFeature -Name Hyper-V -IncludeManagementTools -Restart提示：若仅需内核功能而无需在本地显示管理面板，可移除
-IncludeManagementTools参数。 - 执行
winrm quickconfig -Force命令快速启动并配置 WinRM 远程管理服务。winrm quickconfig -Force - 将本地管理主机的 IP 地址添加至远程服务器的 TrustedHosts 受信任列表。
Set-Item WSMan:\localhost\Client\TrustedHosts -Value "192.168.1.99" -Force需要将命令中的
192.168.1.99替换为本地管理主机的实际 IP 地址。 - 开启 CredSSP 服务角色以允许该服务器接受来自管理端的凭据委派。
Enable-WSManCredSSP -Role Server -Force
2. 本地管理端配置 (Local Host)
本节介绍在本地管理端建立主机名解析映射、配置凭据委派策略以及调整组策略安全项的技术流程。
- 在本地 hosts 文件中添加远程服务器的 IP 地址与主机名映射记录，确保名称解析正常。
Add-Content -Path $env:windir\System32\Drivers\etc\hosts -Value "`n192.168.1.199 Home-SERVER"需要将命令中的
192.168.1.199替换为远程服务器主机的实际 IP 地址。
需要将命令中的Home-SERVER替换为远程服务器主机的实际计算机名称。 - 执行 Get-Content 检查并确认 hosts 静态解析记录已正确写入系统文件。
Get-Content $env:windir\System32\Drivers\etc\hosts - 执行
winrm quickconfig -Force命令初始化本地计算机的远程管理基础环境。winrm quickconfig -Force - 将远程服务器的 IP 地址添加至本地主机的 TrustedHosts 受信任列表。
Set-Item WSMan:\localhost\Client\TrustedHosts -Value "192.168.1.199" -Force需要将命令中的
192.168.1.199替换为远程服务器主机的实际 IP 地址。 - 执行 Enable-WSManCredSSP 开启客户端角色，允许将管理凭据委派至指定的远程主机。
Enable-WSManCredSSP -Role Client -DelegateComputer "192.168.1.199" -Force需要将命令中的
192.168.1.199替换为远程服务器主机的实际 IP 地址。 - 在组策略 允许分配新的凭据 中启用策略，并配置符合 WSMAN 规范的服务器 SPN。
- 路径：
计算机配置>管理模板>系统>凭据分配>允许分配新的凭据 - 操作：点击 显示 ，添加值为
wsman/*的服务器记录（或指定具体主机名）。
- 路径：
- 在组策略中启用 允许分配新的凭据用于仅 NTLM 服务器身份验证 并执行相同配置。
- 路径：
计算机配置>管理模板>系统>凭据分配>允许分配新的凭据用于仅 NTLM 服务器身份验证 - 操作：点击 显示 ，添加值为
wsman/*的服务器记录（或指定具体主机名）。 - 此步骤确保在工作组环境下，通过 NTLM 协议也能安全传递身份凭据。
- 路径：
- 执行
gpupdate /force组策略刷新命令使上述配置立即生效。gpupdate /force
建立远程连接与身份验证
本节介绍在完成基础环境配置后，利用管理工具输入指定格式的凭据以建立远程逻辑连接的具体方法。
- 启动本地 Hyper-V 管理器并选择 连接到服务器 选项。
- 输入远程主机的 IP 地址或已在 hosts 中定义的 计算机名称。
- 使用 主机名\用户名 格式（如 Home-SERVER\Admin）输入凭据进行连接。
常见问题 (FAQ)
针对远程连接过程中可能出现的 WinRM 验证、凭据委派或权限报错，可参照以下方案进行排障。
Q1：提示“此计算机未配置为允许委派用户凭据”？
现象：连接时弹出提示框 “要启用用户凭据委派吗？此计算机未配置为允许委派用户凭据。”
A：这代表组策略
允许分配新的凭据 策略未配置。需要配置该策略并添加 SPN 值，建议添加 wsman/* 的值。
Q2：提示“计算机策略不允许向目标计算机委派用户凭据”？
现象：连接时弹出提示框 “WinRM 客户端无法处理该请求。计算机策略不允许向目标计算机委派用户凭据。”
A：这代表组策略
允许分配新的凭据 策略中 SPN 的值不规范。建议向该策略中添加 wsman/* 的值。
Q3：提示“计算机策略不允许向目标计算机委派用户凭据，因为该计算机不受信任”？
现象：连接时弹出提示框 “CredSSP 无法使用 Kerberos 验证目标计算机的标识。”
A：这代表组策略
允许分配新的凭据用于仅 NTLM 服务器身份验证 策略中 SPN 的值不规范。建议向该策略中添加 wsman/* 的值。
Q4：提示“WinRM 客户端无法处理请求，因为无法解析该服务器名称”？
现象：连接时弹出提示框 “WinRM 客户端无法处理请求，因为无法解析该服务器名称。”
A：这表示本地管理主机无法通过 DNS 识别远程服务器。向本地管理主机的 host 文件中添加远程服务器主机的映射记录即可。
Q5：提示“你没有完成此任务所需的权限”？
现象：连接时弹出提示框 “你没有完成此任务所需的权限。请与计算机XXX授权策略的管理员联系。”
A：这表示连接的远程服务器账户权限不足。需要使用
主机名\用户名 的账户名格式并确认该账户在远程主机上有 Administrator 管理员权限。
Q6：执行 winrm quickconfig -Force 命令报错“没有文件扩展 .vbs 的脚本引擎”？
A：WinRM 依赖 VBSCRIPT 运行环境，如果 VBSCRIPT 组件被移除则需要重新添加。打开设置进入 可选功能 设置页面重新添加 VBSCRIPT 组件即可。
Q7：执行 winrm quickconfig -Force 命令提示“WinRM 防火墙异常”或“网络类型为公用”？
A：WinRM 服务不能在公用（Public）网络下开启。需要手动将网络配置改为专用，然后重新执行 winrm quickconfig -Force 命令即可。
Q8：执行 winrm quickconfig -Force 命令报错“无法检查防火墙的状态” (错误代码 0x80070002)？
A：大概率是 Windows Firewall 服务未启动、防火墙规则库被损坏。可以执行 netsh advfirewall reset 命令重置防火墙规则然后重试。
Q9：如何从 Hyper-V 管理面板中彻底移除远程服务器？
A：按下 Win + S 组合键，搜索进入 凭据管理器 设置页面，选择 Windows 凭据 ，删除包含 HyperManager 名称的记录。
总结
局域网内远程管理 Hyper-V 需要 WinRM 服务、CredSSP 身份验证以及组策略委派的相互配合。
实现该功能的技术要点总结如下：
- 检查系统组件：WinRM 初始化依赖 VBSCRIPT 脚本环境。若配置过程中提示报错，需确认系统的可选功能中是否已添加该组件。
- 设置网络类型：出于安全考虑，WinRM 服务无法在“公用”网络环境下开启。在执行配置前，需确保网络类别已手动更改为“专用”。
- 规范配置格式：在组策略中添加委派记录时，需严格遵循
wsman/主机名的命名规范，并同步检查 hosts 文件中的地址解析是否正常。 - 维护防火墙规则：防火墙异常或规则缺失会阻断 WinRM 的自动配置。遇到初始化失败时，可尝试通过命令重置防火墙规则以消除干扰。
- 规范凭据输入：建立远程连接时，身份信息应采用
主机名\用户名的格式输入。这种输入规范能确保在非域环境下身份验证的精确性。