GitLab流水线访问TwinCAT COM对象时遇权限拒绝问题排查

核心差异：服务会话 vs 交互式用户会话 #

GitLab Runner以服务模式运行时，处于Windows的非交互式Session 0会话，而你直接用GitLab-Runner用户打开PowerShell属于交互式用户会话（通常是Session 1及以上），二者对COM对象的访问权限存在本质区别：

• 服务会话默认无桌面交互权限，像TcXaeShell这类基于Visual Studio Shell的COM对象，初始化时可能依赖桌面相关资源或交互式用户分支的注册表项
• 交互式会话会加载用户完整的注册表配置（包括HKEY_CURRENT_USER下的COM注册信息），而服务会话仅能访问受限的系统级注册表项，部分用户级COM配置无法加载

具体排查方向 #

1. 检查COM类的注册表权限 #

针对报错里的CLSID {A731B066-C381-4701-926E-AF470E987D80}，验证GitLab-Runner用户的注册表读取权限：

• 打开注册表编辑器，定位到HKEY_CLASSES_ROOT\CLSID\{A731B066-C381-4701-926E-AF470E987D80}
• 右键该项→权限→添加GitLab-Runner用户，赋予读取权限
• 同步检查其下InprocServer32、LocalServer32子项的权限配置

2. 开启Runner服务的桌面交互权限 #

TcXaeShell依赖Visual Studio Shell环境，可能需要桌面交互权限才能完成COM对象初始化：

• 打开服务管理器（services.msc），找到GitLab Runner服务
• 右键→属性→登录选项卡，勾选允许服务与桌面交互
• 重启GitLab Runner服务后重新触发流水线测试

3. 补全环境变量路径 #

服务会话可能未加载用户级环境变量，导致TcXaeShell无法被正确定位：

• 在PowerShell脚本开头手动添加TcXaeShell的路径到系统环境变量：

  $env:Path += ";C:\Program Files (x86)\Beckhoff\TcXaeShell\Common7\IDE"
  

• 可以在脚本中输出Get-ChildItem Env:，对比交互式PowerShell的环境变量，排查缺失的关键配置

4. 配置DCOM启动/激活权限 #

对于需要本地服务器激活的COM对象，需通过DCOM配置开放权限：

• 打开dcomcnfg.exe→组件服务→计算机→我的电脑→DCOM配置
• 找到TcXaeShell相关组件（名称可能为TcXaeShell或Beckhoff TwinCAT XAE Shell）
• 右键→属性→安全选项卡：
  • 在启动和激活权限中，添加GitLab-Runner用户，允许本地启动和本地激活
  • 在访问权限中，添加GitLab-Runner用户，允许本地访问

5. 临时切换为交互式Runner模式验证 #

把Runner从服务模式改为交互式运行，确认是否是会话模式导致的问题：

• 停止GitLab Runner服务：gitlab-runner stop
• 以GitLab-Runner用户身份打开PowerShell，执行：gitlab-runner run
• 触发流水线，观察是否仍出现权限错误

内容的提问来源于stack exchange，提问作者Pukinn