SCCM 2012 R2 删除-CMDevice答案

【问题标题】：SCCM 2012 R2 Remove-CMDeviceSCCM 2012 R2 删除-CMDevice
【发布时间】：2016-11-02 10:17:05
【问题描述】：

大家好，

希望有人能快速了解情况，但我在使用 PowerShell 命令 Remove-CMDevice 的服务帐户上被拒绝访问。这个过程按照这里的概述，https://technet.microsoft.com/en-us/library/jj821759(v=sc.20).aspx

该帐户有权从 SCCM 中删除设备，这可以通过 GUI 正常工作，但不能通过命令行工作。我一直无法找到有关帐户需要通过命令行执行此操作的权限的文档，它在 GUI 中手动运行良好。

如果有人能阐明这一点，那就太好了，我确实希望让这个服务帐户拥有尽可能少的权限。

非常感谢，

编辑添加图像如下，

【问题讨论】：

我想查看从 PowerShell 控制台返回的错误。该权限是 RBA 权限。由于您可以使用此帐户从控制台中删除，因此 RBA 权限应该是可以的。请记住，该帐户不是“服务帐户”，只是一个普通的管理员帐户。
嗨 FrankDong，我已经编辑了上面的内容以添加此输出的图像。谢谢。请记住，这在 GUI 上可以正常工作，而不是 PoSh
错误消息清楚地表明它与权限相关，运行并连接到 PowerShell for Configuration Manager 控制台的帐户需要在提到的设备上具有 RBA 权限。如果可以通过管理控制台执行此操作，那么肯定有一些损坏，我建议从控制台中删除管理员帐户，然后重新添加它。请备份相关安全角色权限并重新创建。

【解决方案1】：

经过大量测试，我在使用 PowerShell 控制台删除 CM 系统对象时，在 Permission 部分给出了答案。当然症状是一样的：可以从管理控制台中删除该帐户，但是，当使用 PowerShell 时，它会失败并显示权限错误消息。

执行Remove-CMDevice cmdlet 的帐户必须对对象具有适当的RBA 权限。假设安全范围是默认的，连接到 Configuration Manager 控制台的帐户必须具有以下 RBA 权限，我测试的几乎是 minimal 权限：

截图中Collection部分，权限很容易理解，Read、Delete Resource等

对于计算机协会部分，你可能会感到困惑，为什么？

我进行故障排除的步骤：

我使用我的测试帐户打开了一个连接到 Configuration Manager 的 PowerShell 控制台并运行以下命令以查看会发生什么：

Remove-CMDevice 'Rsuraceccc' -Verbose

我收到以下错误：

是的，它正在尝试从 SMS_StateMigration 进行查询。然后我尝试运行一个简单的命令：

Get-WMIObject -NameSpace root\sms\site_clt -Query 'Select * from SMS_StateMigration'

再一次，我得到了错误。所以我得出的结论是，该帐户需要 SMS_StateMigration 上的权限。于是我在角色上添加了Computer Association的'Recover User State'权限，再次尝试，干杯，这次所有命令都运行成功了。

我不知道它为什么使用 SMS_StateMigration，但这里就是这种情况。

【讨论】：

感谢 FrankDong，经过一些测试，现在可以根据您的解决方案工作。我必须添加权限“SITE \ Read”才能使用发送到 SCCM 服务器的脚本块，但否则为 100%。非常感谢您的协助和工作，祝您有美好的一天
很高兴它对您有所帮助:)