C#自定义Credential Provider远程RDP连接时UpdateRemoteCredential未触发

一、UpdateRemoteCredential方法失效的排查点 #

• 权限配置缺失：远程场景下系统加载过滤器DLL时权限不足。需确保：
  • DLL所在目录给NT AUTHORITY\SYSTEM和LOCAL SERVICE账号赋予读取、执行权限
  • 过滤器注册表项（HKLM\Software\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers\Filters下的目标GUID项）给上述账号分配读取权限
• 过滤器类注册不完整：即使复用DLL，也要确认过滤器CLSID的注册表配置正确：
  • HKCR\CLSID\{你的过滤器CLSID}下的InprocServer32指向正确DLL路径
  • 必须设置ThreadingModel=Apartment（Credential Provider要求单线程单元模型）
• 方法实现逻辑问题：检查UpdateRemoteCredential的参数处理：
  • 正确识别pszTargetName参数中的远程目标标识，避免因目标匹配逻辑错误导致方法不触发
  • 确保输出的Credential结构体包含远程场景必需的字段（如CREDENTIAL_PROVIDER_FIELD_TYPE_CPFT_TARGETNAME），缺失关键字段会导致系统忽略返回结果
• 组策略限制：服务器端可能禁用了第三方Credential Provider：
  • 检查组策略路径计算机配置\管理模板\系统\凭据分配\允许使用第三方凭据提供者，确保已启用并将你的Provider GUID加入允许列表

二、服务器端指定使用自定义凭据提供者的方法 #

• 注册表强制替换：在服务器端HKLM\Software\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers下，将默认Provider的GUID（如微软密码Provider的{60b78e88-ead8-445c-9cfd-0b87f74ea6cd}）替换为你的自定义Provider GUID。注意：此操作会强制所有登录场景使用你的Provider，需评估对默认登录流程的影响。
• 组策略精准配置：通过组策略计算机配置\管理模板\系统\凭据分配\指定凭据提供者，添加你的Provider GUID并设置为强制使用，这种方式可针对特定场景（如远程登录）进行配置，灵活性更高。
• 服务器端完整注册Provider：将自定义Credential Provider的DLL复制到服务器端，完成CLSID注册表项注册：
  • 在HKLM\Software\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers下添加你的Provider GUID项
  • 配置对应HKCR\CLSID\{你的Provider CLSID}的InprocServer32路径及ThreadingModel，权限设置与本地环境一致

内容的提问来源于stack exchange，提问作者canowar