如何创建普通用户可连接的LocalSystem账户命名管道

问题根源分析 #

错误码accessDenied (lastError=5)说明普通用户没有被授予足够的管道访问权限，你的安全描述符（SDDL）可能存在权限掩码不匹配、继承标志冗余等问题，导致权限规则未正确生效。

具体解决步骤 #

1. 修正安全描述符的SDDL字符串 #

管道需要的核心权限是GENERIC_READ和GENERIC_WRITE（对应客户端连接、读写操作），原SDDL中的GRGWGX包含了不必要的GX（GENERIC_EXECUTE），且继承标志OICI对命名管道（非容器对象）无效，可简化并修正为：

String secDesc = "D:"+
        "(D;GA;;;BG)"+     // 拒绝内置来宾账户完全访问
        "(D;GA;;;AN)"+     // 拒绝匿名登录账户完全访问
        "(A;GRGW;;;AU)";   // 允许认证用户读写权限

如果需要更精确的权限控制，可使用权限掩码0x120089（对应FILE_READ_DATA、FILE_WRITE_DATA、SYNCHRONIZE、GENERIC_READ、GENERIC_WRITE），SDDL写法为：

String secDesc = "D:"+
        "(D;GA;;;BG)"+
        "(D;GA;;;AN)"+
        "(A;OICI;0x120089;;;AU)";

2. 验证安全描述符转换过程 #

确保调用ConvertStringSecurityDescriptorToSecurityDescriptor时参数正确：

• 必须指定SDDL_REVISION_1作为第二个参数
• 检查函数返回值是否为true，若失败调用GetLastError排查转换错误
• 转换后的安全描述符必须正确传递给CreateNamedPipe的lpSecurityAttributes参数

3. 确保安全属性结构正确初始化 #

示例代码（C#）：

IntPtr pSD = IntPtr.Zero;
bool convertSuccess = ConvertStringSecurityDescriptorToSecurityDescriptor(
    secDesc,
    1, // SDDL_REVISION_1
    out pSD,
    IntPtr.Zero);

if (!convertSuccess)
{
    // 处理转换错误，输出GetLastError结果
    return;
}

SECURITY_ATTRIBUTES sa = new SECURITY_ATTRIBUTES();
sa.nLength = Marshal.SizeOf(typeof(SECURITY_ATTRIBUTES));
sa.lpSecurityDescriptor = pSD;
sa.bInheritHandle = false;

// 创建命名管道
IntPtr hPipe = CreateNamedPipe(
    @"\\.\pipe\YourPipeName",
    PIPE_ACCESS_DUPLEX,
    PIPE_TYPE_MESSAGE | PIPE_READMODE_MESSAGE | PIPE_WAIT,
    PIPE_UNLIMITED_INSTANCES,
    4096,
    4096,
    NMPWAIT_USE_DEFAULT_WAIT,
    ref sa);

// 使用管道后释放安全描述符
LocalFree(pSD);

4. 排查其他可能问题 #

• 确认客户端连接管道时使用的权限与你授予的权限匹配（客户端通常请求GENERIC_READ | GENERIC_WRITE）
• 若仍存在问题，可暂时移除拒绝规则，仅保留允许认证用户的权限，测试是否能正常连接，逐步排查规则冲突

内容的提问来源于stack exchange，提问作者Daniel