Windows服务调用CreateProcessAsUser遇组策略限制问题求助

方案1：调整组策略/本地安全策略放行辅助程序 #

让管理员通过组策略或本地安全策略给你的辅助程序开绿灯：

• 打开gpedit.msc，定位到计算机配置>Windows设置>安全设置>软件限制策略，如果启用了软件限制，添加一条“哈希规则”或“路径规则”，将辅助程序标记为允许执行；
• 要是用的是AppLocker，在计算机配置>Windows设置>安全设置>应用程序控制策略>AppLocker>可执行规则里，创建允许普通用户运行该辅助程序的规则；
• 也可以检查本地策略>用户权限分配里的“允许本地登录”“允许通过终端服务登录”等项，确保普通用户有足够权限触发程序启动。

方案2：直接调用系统API实现锁屏/注销，抛弃辅助程序 #

没必要绕弯启动辅助程序，服务可以直接调用Windows原生API完成需求：

• 锁屏：调用LockWorkStation()函数，这个函数不需要依赖交互会话，服务在session0就能直接调用，系统会自动锁定当前活跃用户的屏幕；
• 注销用户：先通过AdjustTokenPrivileges启用服务进程的SE_SHUTDOWN_NAME权限，再调用ExitWindowsEx(EWX_LOGOFF, 0)，就能直接触发当前用户注销。
  这种方式完全规避了启动外部程序的环节，自然不会碰组策略的限制。

方案3：用任务计划触发辅助程序 #

服务可以创建一次性任务计划来启动辅助程序，任务计划的权限机制比CreateProcessAsUser更灵活：

• 通过ITaskService COM接口连接本地任务计划服务，创建任务时指定在当前用户会话中运行，并配置任务使用用户的交互登录令牌；
• 任务计划默认受组策略限制较少，只要管理员没禁用任务计划服务，这种方式大概率能绕过普通用户启动程序的限制。

方案4：调整辅助程序的部署权限和位置 #

• 把辅助程序放到系统目录（比如C:\Windows\System32），系统目录默认被组策略信任，普通用户通常有权限执行这里的程序；
• 右键辅助程序属性→安全→编辑，添加普通用户组（比如Users），授予“读取和执行”权限，确保用户本身有启动程序的权限。

内容的提问来源于stack exchange，提问作者Happy Hobbyist