C# Windows服务访问受保护网络被拒，求原因及解决方案

• 会话隔离与凭据访问限制：VBScript运行在用户的交互式会话中，可直接调用用户已保存的Windows凭据（存储在用户会话的凭据管理器内）；但Windows服务默认运行在会话0（非交互式系统会话），该会话无法访问普通用户会话中存储的凭据——哪怕服务配置的是同一个用户账户。
• 服务账户的网络身份特性：
  • LocalSystem：访问网络时使用机器账户（格式为域名\机器名$），而非用户账户，若共享未给机器账户授权则会被拒。
  • LocalService/NetworkService：网络访问权限极低，前者用匿名身份，后者用受限机器身份，均无法调用用户凭据。
  • User类型账户：即使配置域用户，服务启动时也不会自动加载用户的网络凭据缓存，必须显式处理。

方案1：代码中显式添加网络凭据（推荐） #

通过调用Windows API，在服务中手动注入目标共享的访问凭据，让服务以指定身份访问共享。示例C#代码：

using System;
using System.Runtime.InteropServices;

public class NetworkCredentialHelper
{
    [StructLayout(LayoutKind.Sequential, CharSet = CharSet.Unicode)]
    private struct Credential
    {
        public int Flags;
        public int Type;
        public string TargetName;
        public string Comment;
        public System.Runtime.InteropServices.ComTypes.FILETIME LastWritten;
        public int CredentialBlobSize;
        public IntPtr CredentialBlob;
        public int Persist;
        public int AttributeCount;
        public IntPtr Attributes;
        public string TargetAlias;
        public string UserName;
    }

    [DllImport("advapi32.dll", EntryPoint = "CredWriteW", CharSet = CharSet.Unicode, SetLastError = true)]
    private static extern bool CredWrite([In] ref Credential userCredential, [In] int flags);

    public static bool AddNetworkCredential(string target, string username, string password)
    {
        Credential cred = new Credential();
        cred.Type = 1; // CRED_TYPE_GENERIC
        cred.TargetName = target; // 示例："\\\\server\\shared_folder"
        cred.UserName = username;
        cred.CredentialBlobSize = password.Length * 2;
        cred.CredentialBlob = Marshal.StringToCoTaskMemUni(password);
        cred.Persist = 2; // CRED_PERSIST_LOCAL：凭据在本地机器持久化

        bool result = CredWrite(ref cred, 0);
        Marshal.FreeCoTaskMem(cred.CredentialBlob);
        return result;
    }
}

使用时，在服务启动或访问共享前调用AddNetworkCredential(@"\\目标服务器\共享路径", "有权限的用户名", "密码")，注意调用此API需要管理员权限，需做好异常捕获。

方案2：配置服务使用域用户并预存凭据 #

1. 打开凭据管理器（控制面板→用户账户→凭据管理器），添加Windows凭据：目标填共享路径（如\\server\share），输入有权限的域用户名和密码。
2. 将Windows服务的登录账户设置为该域用户，确保账户一致。
3. 确保域用户在目标共享上有明确的读写权限，若为域环境可通过组策略配置凭据漫游，保证服务启动时能加载到凭据。

方案3：授予机器账户共享权限（仅内网信任环境） #

若为域环境，给目标共享添加服务所在机器的账户（格式域名\机器名$）的读写权限。此方式无需用户凭据，但安全性低，仅适用于完全信任的内网场景，不推荐用于敏感共享。

内容的提问来源于stack exchange，提问作者Fouad Allali