«сеанс входа в систему не существует», когда командлет завернутый в ничегонеделание Invoke-Command

Во время входа в ХОСТ1, мой пользователь может успешно запустить эту команду powershell, чтобы переместить работающую виртуальную машину из ХОСТ1 к ХОСТ2:

Move-VM -Name DC02 -DestinationHost HOST2 -IncludeStorage -DestinationStoragePath "V:\Virtual Machines\DC02"

Однако эта команда (которая делает то же самое, потому что ХОСТ1 является локальный хост) не удается:

Вызвать команду {
  Move-VM -Name DC02 -DstinationHost HOST2 -IncludeStorage -DestinationStoragePath "V:\Virtual Machines\DC02"
} -ИмяКомпьютера HOST1

Ошибка:

Move-VM: операция на компьютере «HOST2» не удалась: WinRM не может обработать запрос. Следующая ошибка с
Код ошибки 0x8009030e произошел при использовании проверки подлинности Kerberos: указанный сеанс входа в систему не существует. Это может
уже были прекращены.
 Возможные причины:
  -Указанное имя пользователя или пароль недействительны.
  -Kerberos используется, когда не указаны ни метод аутентификации, ни имя пользователя.
  -Kerberos принимает имена пользователей домена, но не локальные имена пользователей.
  -Имя участника-службы (SPN) для имени и порта удаленного компьютера не существует.
  -Клиент и удаленные компьютеры находятся в разных доменах, и между двумя доменами нет доверия.
 После проверки вышеуказанных проблем попробуйте следующее:
  - Проверьте средство просмотра событий на наличие событий, связанных с аутентификацией.
  -Изменить метод аутентификации; добавьте конечный компьютер в параметр конфигурации WinRM TrustedHosts или
использовать транспорт HTTPS.
 Обратите внимание, что компьютеры в списке TrustedHosts могут не пройти проверку подлинности.
   -Для получения дополнительных сведений о конфигурации WinRM выполните следующую команду: winrm help config.
    + CategoryInfo: NotSpecified: (:) [Move-VM], VirtualizationException
    + FullyQualifiedErrorId: не указано, Microsoft.HyperV.PowerShell.Commands.MoveVM

При включении подробного Kerberos я вижу это в журнале системных событий:

Получено сообщение об ошибке Kerberos:
при входе в систему DomainY\UserY
Время клиента:
Время сервера: 20:40:44.0000 8/12/2022 Z
Код ошибки: 0x19 KDC_ERR_PREAUTH_REQUIRED
Расширенная ошибка:
Клиентская область:
Имя клиента:
Область сервера: ДоменY
Имя сервера: krbtgt/DomainY
Целевое имя: krbtgt/DomainY@DomainY
Текст ошибки:
Файл: logonapi.cxx
Строка: e02
Данные об ошибке находятся в данных записи.

Q: Почему команда не работает, когда она завернута в Invoke-Command?

Подсказка, указывающая на доверие леса: сбой происходит для UserY, но не для UserX:

• ХОСТ1, ХОСТ2, и ПользовательX находятся на ДоменX
• ПользовательY включен ДоменY
• ДоменX доверяет ДоменY через Лесной траст
• ДоменY доверяет ДоменX через Лесной траст
• ПользовательX является администратором домена на ДоменX
• Пользователь Y является администратором домена на ДоменY (хотя это не имеет значения)
• Пользователь Y входит во ВСТРОЕННУЮ группу администраторов на ХОСТ1 и ХОСТ2 (которые находятся в ДоменX)