非Local System用户运行的Windows Service调用msiexec失败问题

我正在用C++开发一个Windows服务，希望服务在触发特定条件时，通过执行msiexec /p patch.msp /quiet /qn实现自我更新。目前使用Windows函数CreateProcessW完成此操作：

• 当服务以Local System身份运行时一切正常，能创建进程执行msiexec命令并完成更新；
• 但配置服务以其他用户身份（已配置“Log On As”用户，并授予常规任务权限）运行时，其他功能正常，唯独执行msiexec命令失败。

MSI日志显示错误0x80070005（访问被拒绝）：

=== Verbose logging started: 2/13/2024  17:11:03  Build type: SHIP UNICODE 5.00.10011.00  Calling process: C:\Windows\system32\msiexec.exe ===
MSI (c) (E8:64) [17:11:03:661]: Resetting cached policy values
MSI (c) (E8:64) [17:11:03:661]: Machine policy value 'Debug' is 0
MSI (c) (E8:64) [17:11:03:661]: ******* RunEngine:
           ******* Product: {*******}
           ******* Action: 
           ******* CommandLine: **********
MSI (c) (E8:64) [17:11:03:663]: Client-side and UI is none or basic: Running entire install on the server.
MSI (c) (E8:64) [17:11:03:663]: Grabbed execution mutex.
MSI (c) (E8:64) [17:11:03:671]: Failed to connect to server. Error: 0x80070005

MSI (c) (E8:64) [17:11:03:673]: Note: 1: 2774 2: 0x80070005 
1: 2774 2: 0x80070005 
MSI (c) (E8:64) [17:11:03:674]: Failed to connect to server.
MSI (c) (E8:64) [17:11:03:674]: MainEngineThread is returning 1601
=== Verbose logging stopped: 2/13/2024  17:11:03 ===

已验证的正常场景：

• 以该用户身份打开cmd，直接运行服务exe（非服务模式），msiexec命令执行正常；
• 将该用户加入Administrators组后，服务可正常执行msiexec命令。

现寻求以下问题的解答：

1. 除加入管理员组外，是否可通过给服务用户添加特定权限、用户权限或组来让msiexec正常运行？
2. CreateProcessW或相关函数是否需要特定参数？
3. 若此方法不可行，原因是什么？为何用户为管理员时服务在会话0非交互模式下仍能正常工作？
4. 还有其他实现服务自我更新的方法吗？

1. 无需管理员组的权限配置方案 #

可以通过给服务用户添加以下特定权限/组来让msiexec正常运行：

• 用户权限分配（通过本地安全策略secpol.msc配置）：
  • 授予SeImpersonatePrivilege（模拟客户端身份的权限）：MSI服务需要调用方具备此权限才能建立服务器连接；
  • 授予SeBatchLogonRight（批处理登录权限）：服务运行在会话0，批处理登录权限允许用户在非交互式会话中执行安装操作；
  • 授予SeLoadDriverPrivilege（加载和卸载设备驱动程序）：部分MSI补丁可能需要修改系统驱动相关组件，此权限可避免访问拒绝。
• 本地组添加：
  • 将用户加入Windows Installer Service Access组（部分系统存在此组，专门授予MSI执行权限）；
  • 旧版Windows（Win7及更早）可加入Power Users组，该组拥有部分系统级操作权限。

注意：权限修改后需重启服务或用户会话生效。

2. CreateProcessW的参数调整 #

当前使用CreateProcessW时，需确保以下参数配置正确：

• STARTUPINFO配置：设置dwFlags为STARTF_USESHOWWINDOW，wShowWindow设为SW_HIDE，避免尝试创建交互式窗口（服务运行在会话0，无交互桌面）；
• 进程属性：将lpProcessAttributes和lpThreadAttributes设为NULL，继承服务的安全上下文；
• 创建标志：添加CREATE_NO_WINDOW标志，强制msiexec在无窗口模式下运行，规避会话0交互限制；
• 命令行增强：添加/L*v "C:\patch-detail.log"参数生成更详细的日志，便于排查具体权限缺失点。

关键参数示例代码：

STARTUPINFOW si = { sizeof(si) };
PROCESS_INFORMATION pi;
si.dwFlags = STARTF_USESHOWWINDOW;
si.wShowWindow = SW_HIDE;

BOOL result = CreateProcessW(
    L"C:\\Windows\\System32\\msiexec.exe",
    L"/p patch.msp /quiet /qn /L*v \"C:\\patch-detail.log\"",
    NULL, NULL, FALSE,
    CREATE_NO_WINDOW,
    NULL, NULL,
    &si, &pi
);

3. 权限差异与会话0限制原因 #

• 不可行的核心原因：MSI安装服务执行机器范围补丁时，需要访问系统级注册表项（如HKLM\Software\Microsoft\Windows\CurrentVersion\Installer）、系统目录及Windows Installer服务的内部IPC机制，这些资源默认仅向管理员级身份开放。普通用户即使拥有服务运行权限，也无法通过会话0的非交互式上下文获取足够的系统访问权限。
• 管理员用户正常工作的原因：管理员组用户默认拥有SeDebugPrivilege、SeRestorePrivilege等高级权限，且Windows的UAC机制在会话0的非交互式场景下会自动提升管理员权限（无UAC弹窗拦截），因此msiexec可以顺利连接到Windows Installer服务并完成补丁安装。

4. 替代的服务自我更新方案 #

如果上述权限配置无法满足需求，可采用以下替代方案：

• 直接调用MSI API：通过C++调用MSI的COM接口（如MSIInstallProduct函数），而非创建独立的msiexec进程，直接在服务进程上下文执行补丁安装，减少权限传递问题；
• 独立更新代理+任务计划：将更新逻辑剥离到单独的exe，服务仅触发更新任务，代理程序通过任务计划程序以“最高权限”执行，规避服务权限限制；
• 第三方更新框架：使用WinSparkle、Squirrel.Windows等成熟框架，这些工具已处理好Windows服务的权限、会话0等问题，支持静默更新；
• 差分文件替换：仅更新服务exe的差异部分，先停止服务、替换文件后重启，避免MSI的权限限制。

内容的提问来源于stack exchange，提问作者aampere