Как использовать инструменты командной строки (psexec, netuse), требующие учетных данных, не отображая их в виде открытого текста в журналах?

Question

Прежде всего, вот мои ограничения:

1. Я запускаю PSExec и Netuse из пакетного файла.
2. Мне нужно запустить его как другого пользователя, а не как вошедший в систему в данный момент. У нас строгая схема разрешений, где администраторы сервера не являются администраторами рабочего стола и наоборот. Я запускаю свой пакетный файл как администратор сервера и мне нужно использовать учетные данные администратора рабочего стола на целевой машине.
3. Не ограничение, просто примечание. У меня полный контроль и доступ к обоим этим необходимым аккаунтам.
4. Должен быть безголовым, не должно быть всплывающего окна с просьбой ввести пароль.

Мое текущее использование работает с использованием флагов -uи -p( /userдля сетевого использования), но к моему ужасу, парень из службы безопасности показал мне, что мой пароль был введен в открытый текст. Я должен был догадаться, что так и будет. Я предпринял шаги, чтобы все было неинтерактивно, и никогда не сохранял пароль в открытый текст, но, конечно, в журнале он будет виден.

Есть ли способ это сделать? Я хочу, чтобы команда была зарегистрирована, но, очевидно, не имея такого большого риска безопасности.

Обычное решение — запустить скрипт как повышенный пользователь, и все команды будут выполняться от имени этого пользователя. Однако из-за нарушения прав доступа, если я запущу его как администратор рабочего стола, я вообще не смогу запустить скрипт на сервере. Если я запущу его как администратор сервера, все мои удаленные попытки будут отклонены.