ASP.NET Core gRPC使用命名管道时如何配置权限解决访问拒绝问题

问题场景 #

我有一个以Windows服务运行的ASP.NET Core gRPC服务器，还有一个以受限用户身份运行的gRPC客户端。管理员身份运行客户端时通信正常，但非管理员运行时会抛出以下错误：

System.Net.Http.HttpRequestException: Access to the path is denied. (localhost:80)

这是命名管道的权限问题，原生命名管道可在创建NamedPipeServerStream时直接配置权限，但gRPC对命名管道的封装比较间接，需要调整Kestrel配置来解决。

当前Kestrel配置 #

目前我的服务器配置代码如下：

builder.WebHost.ConfigureKestrel(serverOption =>
{
    serverOption.ListenNamedPipe(HelloWorldInfo.gRpcPipeName,
        listenOptions =>
        {
            listenOptions.Protocols = HttpProtocols.Http2;
        });
});
builder.Services.AddGrpc();

尝试过的方案及问题 #

我曾尝试用UseNamedPipes扩展设置PipeSecurity，代码如下：

var pipeSecurity = CreateSystemIOPipeSecurity();
builder.WebHost.UseNamedPipes(opts =>
{
    opts.PipeSecurity = pipeSecurity;
    opts.CurrentUserOnly = false;
});

但运行时抛出错误：

System.IO.IOException: Failed to bind to address http://pipe:/HelloWorldPipe: address already in use.

原因是ConfigureKestrel里的ListenNamedPipe和UseNamedPipes扩展会重复绑定同一个命名管道，导致地址冲突。

正确解决方案 #

方法1：在ListenNamedPipe中直接配置PipeSecurity #

这是最直接的方案，无需额外扩展，直接在ListenNamedPipe的配置项里设置命名管道权限：

1. 先实现创建PipeSecurity的方法，给受限用户或用户组添加读写权限：

private static PipeSecurity CreateSystemIOPipeSecurity()
{
    var pipeSecurity = new PipeSecurity();
    // 给所有已认证用户添加读写权限
    var authenticatedUsers = new SecurityIdentifier(WellKnownSidType.AuthenticatedUserSid, null);
    pipeSecurity.AddAccessRule(new PipeAccessRule(authenticatedUsers, PipeAccessRights.ReadWrite, AccessControlType.Allow));
    
    // 如果需要给特定用户授权，可添加以下代码（替换为实际用户名）
    // var restrictedUser = new NTAccount("YourDomain\\RestrictedUserName");
    // pipeSecurity.AddAccessRule(new PipeAccessRule(restrictedUser, PipeAccessRights.ReadWrite, AccessControlType.Allow));
    
    return pipeSecurity;
}

2. 修改Kestrel配置，在ListenNamedPipe中配置权限：

builder.WebHost.ConfigureKestrel(serverOption =>
{
    var pipeSecurity = CreateSystemIOPipeSecurity();
    serverOption.ListenNamedPipe(HelloWorldInfo.gRpcPipeName, listenOptions =>
    {
        listenOptions.Protocols = HttpProtocols.Http2;
        // 获取命名管道配置项并设置权限
        var namedPipeOpts = listenOptions.UseNamedPipe();
        namedPipeOpts.PipeSecurity = pipeSecurity;
        namedPipeOpts.CurrentUserOnly = false;
    });
});
builder.Services.AddGrpc();

配置完成后，Kestrel创建命名管道时会直接应用指定的DACL，受限用户即可正常连接。

方法2：服务器启动后修改管道权限（备选） #

如果方法1无法满足需求，还可在服务器启动后找到已创建的命名管道，通过Windows API修改其权限。不过该方法需要使用P/Invoke调用Windows原生API，步骤较繁琐，核心思路如下：

• 枚举系统中的命名管道，找到目标管道名称
• 调用CreateFile打开管道句柄
• 调用GetNamedPipeSecurity获取当前权限
• 添加新权限规则后调用SetNamedPipeSecurity更新权限

由于实现复杂度较高，优先推荐方法1。

内容的提问来源于stack exchange，提问作者Ed_S