无提升权限能否创建TASK_LOGON_S4U类型的Windows计划任务？

是的，创建使用TASK_LOGON_S4U登录类型的Windows计划任务必须具备管理员权限，普通用户权限下无法完成该操作，你遇到的E_ACCESS_DENIED（错误码80070005）正是权限不足导致的。

核心原因 #

• TASK_LOGON_S4U的设计逻辑是让任务以指定用户身份运行，且无需输入该用户的凭据，依赖Kerberos约束委派机制实现身份映射。这类操作涉及系统级的身份验证配置，Windows安全模型会限制普通用户执行此类操作，防止未经授权的身份模拟或权限滥用。
• 对比TASK_LOGON_INTERACTIVE_TOKEN：该登录类型使用当前用户的交互式会话令牌，属于用户自身会话范围内的操作，不需要额外的系统级特权，因此普通用户可以正常创建任务。

补充说明 #

微软官方文档虽未直接明确标注不同登录类型的权限要求，但从Windows安全机制的底层逻辑来看：

• 创建S4U类型的任务需要管理员级令牌包含的特权（如SE_INCREASE_QUOTA_NAME、SE_ASSIGNPRIMARYTOKEN_NAME），普通用户令牌不具备这些特权，因此会触发权限拒绝错误。

解决方案 #

• 如果业务需求必须使用TASK_LOGON_S4U登录类型，你的程序必须以管理员权限运行。可以通过在程序的manifest文件中设置requestedExecutionLevel为requireAdministrator，实现启动时自动请求UAC提权。
• 即使你正确配置了任务主体（指定的用户账户存在且有委派权限），普通用户依然无法创建此类任务，权限提升是必要前提。

内容的提问来源于stack exchange，提问作者AlexX333BY