Windows下如何以系统账户执行安装动作脚本？

• 先确认安装程序的实际运行账户
  很多时候所谓的“提权”只是提升到管理员权限，并没有切换到系统账户。可以在代码中添加日志输出当前账户：

  System.out.println("当前运行账户：" + System.getProperty("user.name"));
  

  或者通过Windows任务管理器查看安装进程的“用户名”列。如果确实不是系统账户，需要先让安装程序以系统账户启动：

  • 测试阶段可以用psexec -s 你的安装程序路径强制以系统账户运行
  • 正式部署时，在安装工具（如WiX、InstallShield）中配置安装包以系统账户执行

• 检查KSP密钥容器的权限配置
  微软KSP的密钥容器权限可能限制了系统账户的访问。可以通过以下步骤验证：

  1. 打开mmc，添加“证书”管理单元，选择“计算机账户”
  2. 找到对应密钥所在的存储位置，右键查看密钥的“权限”
  3. 确保系统账户（NT AUTHORITY\SYSTEM）拥有读取/写入权限
     也可以用命令行查询：

  certutil -csp "Microsoft Software Key Storage Provider" -key
  

• 替换提权逻辑，切换到系统账户上下文执行
  你当前使用的runElevated只是提升权限到管理员，并非切换到系统账户。要在系统账户上下文执行代码，需要调用Windows原生API：

  • 用JNI/JNA调用WTSQueryUserToken获取系统账户令牌，再通过CreateProcessAsUser启动独立进程执行加密逻辑
  • 或者使用Windows任务计划，创建一个以系统账户执行的临时任务，触发加密操作后再获取结果

• 排查自定义加密库的权限依赖
  检查你加载的restLibraryPath动态库及其依赖文件：

  • 确保系统账户对库文件所在目录有读取权限
  • 用Process Monitor跟踪系统账户运行时的文件/注册表访问，排查是否有权限拒绝的错误
  • 检查加密函数中是否硬编码了管理员专属的密钥容器或权限配置

内容的提问来源于stack exchange，提问作者Stephen