服务需要生成非交互式子进程，但失败并显示“拒绝访问”

Question

首先，我并不想在任何类型的桌面交互。

我想做的是分离关注点。我有一个在本地系统帐户 (LSA) 下运行的服务。有时，我需要在不同的帐户下执行进程。

我正在System.Diagnostics.Process为此使用。这是我迄今为止尝试过的：

• 将服务应用作为普通桌面应用运行，在同一个账户下启动子进程：有效
• 将服务应用作为普通桌面应用运行，在另一个账户下启动子进程：有效
• 将服务作为服务应用程序运行（作为 LSA），在同一帐户（LSA）下启动子进程：有效
• 将服务作为服务应用程序（作为 LSA）运行，在另一个帐户下启动子进程：不起作用

对我不起作用的情况向我抛出一个带有“拒绝访问”的 Win32Exception。我已授予相关用户帐户作为服务登录的权利，但这没有任何区别。

为了好玩，我也尝试过这些场景：

• 如果我在自己的 dev 帐户（我们称之为 Developer）下运行该服务，并尝试在较低特权的帐户（我们称之为 ServiceAccount）下启动子进程，process.Start() 不会抛出，并返回 true，但是我从未在 Sys Internal 的 Process Explorer 中看到任何正在启动的进程，并且Process.Exited会立即被触发。
• 如果我在 ServiceAccount 下运行服务，并在同一帐户 (ServiceAccount)下启动子进程，它会按预期工作。

这是我正在使用的代码：

var pi = new ProcessStartInfo {
    CreateNoWindow = true,
    WindowStyle = ProcessWindowStyle.Hidden,
    UseShellExecute = false,
    ErrorDialog = false,
    RedirectStandardError = false,
    RedirectStandardInput = false,
    RedirectStandardOutput = false,
    FileName = @"C:\Path\To\SomeApplication.exe",
    Arguments = @"Some arguments",
    UserName = "SomeUserName",
    Domain = "SomeDomain",
    Password = SecureStringUtils.Convert("SomePassword")
};

var process = new Process();
process.StartInfo = pi;
process.Start(); // Throws when run as a service

有任何想法吗？

Answer 1

我终于找到了这个：Using Process.Start() to start a process as a different user from inside a Windows Service，它解决了我的问题。当然，答案中提供的代码需要大量的润色，但它似乎确实解决了我的问题。