NAS设备SMB共享目录存在却提示无效的问题排查

针对你遇到的SMB共享目录启动提示无效路径、Avecto工具无法切换到目标管理员用户这两个核心问题，结合你的权限控制需求，给出以下具体解决步骤：

一、解决SMB共享"无效目录"问题 #

当使用UseShellExecute=false并指定其他用户凭据时，系统不会自动继承当前用户的SMB共享会话权限，目标用户的上下文无法直接访问共享路径，导致路径无效。解决方法如下：

1. 先映射SMB共享到本地盘符 #

通过net use命令先用目标管理员凭据映射共享目录到本地盘符，再启动程序，确保目标用户拥有共享访问权限：

private void Ok_Click(object sender, EventArgs e)
{
    // 替换为你的SMB共享路径
    string smbShare = @"\\NAS-Name\Your-App-Share";
    string driveLetter = "Z:";
    string adminUser = userName.Text.Trim();
    string adminPwd = password.Text.Trim();

    // 执行共享映射命令
    var mapProcess = Process.Start(new ProcessStartInfo("cmd.exe", $"/c net use {driveLetter} {smbShare} /user:DOMAIN\\{adminUser} {adminPwd} /persistent:no")
    {
        CreateNoWindow = true,
        UseShellExecute = false
    });
    mapProcess.WaitForExit();

    // 用映射后的盘符启动目标程序
    var psi = new ProcessStartInfo($@"{driveLetter}\AdminApp.exe")
    {
        UserName = adminUser,
        PasswordInClearText = adminPwd,
        LoadUserProfile = true,
        Domain = "DOMAIN",
        ErrorDialog = true,
        UseShellExecute = false,
        WorkingDirectory = driveLetter
    };
    Process.Start(psi);

    // 可选：退出前删除映射，避免残留盘符
    var unmapProcess = Process.Start(new ProcessStartInfo("cmd.exe", $"/c net use {driveLetter} /delete /y")
    {
        CreateNoWindow = true,
        UseShellExecute = false
    });
    unmapProcess.WaitForExit();

    Application.Exit();
}

2. 检查NAS端权限配置 #

确保目标管理员用户（或其所属安全组）在NAS的SMB共享权限和文件系统权限中都拥有「读取+执行」权限，两者缺一不可。

二、解决Avecto无法切换用户上下文的问题 #

Avecto默认逻辑是给当前登录用户添加管理员令牌，而非切换到输入的目标用户，需要通过以下方式绕过：

1. 修改启动器的程序清单 #

移除启动器app.manifest中的权限提升配置，避免Avecto自动拦截提升请求：
删除以下代码段：

<requestedExecutionLevel level="requireAdministrator" uiAccess="false" />

2. 直接调用Windows API创建进程 #

使用CreateProcessWithLogonW原生API绕过Process.Start的劫持，直接以目标用户身份创建进程：

using System.Runtime.InteropServices;
using System.IO;

// P/Invoke声明
[DllImport("advapi32.dll", SetLastError = true, CharSet = CharSet.Unicode)]
private static extern bool CreateProcessWithLogonW(
    string lpszUsername,
    string lpszDomain,
    string lpszPassword,
    int dwLogonFlags,
    string lpApplicationName,
    string lpCommandLine,
    int dwCreationFlags,
    IntPtr lpEnvironment,
    string lpCurrentDirectory,
    ref STARTUPINFO lpStartupInfo,
    out PROCESS_INFORMATION lpProcessInformation);

[StructLayout(LayoutKind.Sequential)]
private struct STARTUPINFO
{
    public int cb;
    public string lpReserved;
    public string lpDesktop;
    public string lpTitle;
    public int dwX;
    public int dwY;
    public int dwXSize;
    public int dwYSize;
    public int dwXCountChars;
    public int dwYCountChars;
    public int dwFillAttribute;
    public int dwFlags;
    public short wShowWindow;
    public short cbReserved2;
    public IntPtr lpReserved2;
    public IntPtr hStdInput;
    public IntPtr hStdOutput;
    public IntPtr hStdError;
}

[StructLayout(LayoutKind.Sequential)]
private struct PROCESS_INFORMATION
{
    public IntPtr hProcess;
    public IntPtr hThread;
    public int dwProcessId;
    public int dwThreadId;
}

[DllImport("kernel32.dll", SetLastError = true)]
private static extern bool CloseHandle(IntPtr hObject);

private void Ok_Click(object sender, EventArgs e)
{
    string appFullPath = @"\\NAS-Name\Your-App-Share\AdminApp.exe";
    string adminUser = userName.Text.Trim();
    string adminPwd = password.Text.Trim();

    STARTUPINFO si = new STARTUPINFO();
    si.cb = Marshal.SizeOf(si);
    PROCESS_INFORMATION pi;

    // LOGON_WITH_PROFILE 标志：加载目标用户的配置文件
    bool success = CreateProcessWithLogonW(
        adminUser,
        "DOMAIN",
        adminPwd,
        0x00000001,
        appFullPath,
        null,
        0,
        IntPtr.Zero,
        Path.GetDirectoryName(appFullPath),
        ref si,
        out pi);

    if (success)
    {
        CloseHandle(pi.hProcess);
        CloseHandle(pi.hThread);
        Application.Exit();
    }
    else
    {
        int errorCode = Marshal.GetLastWin32Error();
        MessageBox.Show($"启动失败，错误码：{errorCode}");
    }
}

3. 配置Avecto规则 #

联系公司Avecto管理员，为该启动器配置特殊规则，允许其执行用户上下文切换操作，而非仅提升当前用户权限。

三、安全组权限控制优化 #

针对你的跨办公室权限隔离需求：

• 在NAS的SMB共享和文件系统权限中，分别创建对应办公室的安全组（如X-Office-Admins、Y-Office-Admins），仅赋予对应组访问其所属目录的权限
• 彻底禁用SMB来宾访问，确保所有访问请求都通过域用户/安全组验证
• 避免在代码中嵌入固定账户，完全依赖安全组权限实现访问控制

内容的提问来源于stack exchange，提问作者Stephen Lee Parker