注销/快速启动后Windows线程模拟权限丢失问题排查

Windows服务的运行线程通过ImpersonateLoggedOnUser模拟已登录用户的安全上下文，在执行系统关机→快速启动（fast startup）流程并完成用户注销后，该线程仍继续执行但行为异常，模拟权限似乎已丢失，线程安全上下文恢复为自身。

ImpersonateLoggedOnUser官方文档说明：

模拟状态会持续到线程退出或调用RevertToSelf为止。

但文档未提及注销或快速启动场景，因此存在以下疑问：

• 用户注销时，访问令牌及/或模拟状态是否会失效？
• 是否有相关官方文档说明该场景？
• 有无维持模拟状态的可行方案？

1. 注销/快速启动对模拟状态的影响 #

用户注销时，系统会销毁该用户的会话及关联的访问令牌——即使线程之前通过ImpersonateLoggedOnUser拿到了模拟令牌，原用户会话销毁后，这个令牌会被标记为无效。快速启动本质是休眠内核+用户会话销毁，同样会触发用户令牌的回收，因此模拟状态会直接失效，线程自动恢复到服务自身的安全上下文。

2. 相关文档说明 #

微软官方文档虽未直接针对快速启动场景做明确说明，但在会话管理相关文档中明确：用户注销时，系统会终止该会话下的所有进程/线程，并回收所有关联的访问令牌；快速启动流程中，用户会话会被完全销毁，仅保留内核态数据。ImpersonateLoggedOnUser的模拟依赖有效的用户令牌，令牌失效后模拟自然终止。

3. 维持模拟状态的可行方案 #

• 提前备份令牌并重新模拟：在用户注销前，通过DuplicateTokenEx复制一份模拟令牌（需指定TOKEN_ALL_ACCESS权限，且设置DUPLICATE_TOKEN_SIMULATE标志），存储为服务持有的持久化令牌。待系统完成快速启动后，重新调用ImpersonateLoggedOnUser使用备份的令牌恢复模拟状态。注意：备份令牌需确保在用户注销前完成，且服务必须拥有足够权限操作令牌。
• 改用服务账户+权限委托：如果业务允许，直接使用服务账户执行操作，通过组策略给服务账户分配所需权限，避免依赖用户会话的模拟。这种方式不受用户注销/快速启动影响，稳定性更高。
• 监听会话状态事件：通过WTSRegisterSessionNotification监听会话注销事件，在事件触发前主动保存必要的上下文，终止当前模拟操作；待系统恢复后，根据保存的上下文重新建立模拟（如果需要）。

内容的提问来源于stack exchange，提问作者arabesc