调用RegConnectRegistry远程连接注册表报权限拒绝问题排查

你遇到的权限拒绝问题和PC2上HKLM注册表项本身的ACL配置无关，核心是Windows远程注册表访问的多层前置权限配置缺失，按以下顺序排查配置即可：

• 检查PC2端Remote Registry服务运行状态
  所有远程注册表连接请求都由该系统服务承接，Windows桌面版系统默认将该服务设为禁用状态。原有PC1能正常连接，是因为该服务此前已被手动配置为自动启动，新替换场景下如果服务未启动，哪怕给注册表项开所有人完全控制权限也会直接返回拒绝。
  操作方式：在PC2上运行services.msc找到Remote Registry服务，将启动类型改为「自动」，手动启动服务后重试连接。
• 关闭PC2端本地账户远程UAC令牌过滤
  Windows Vista及后续版本默认开启本地账户远程访问令牌过滤机制：即使用户使用PC2本地管理员组内的账户发起远程连接，系统也会自动剥离认证令牌中的管理员权限，降级为普通用户权限，自然无权访问HKLM系统根键。该机制独立于注册表项本身的权限配置，不受你之前修改的ACL规则影响。
  操作方式：
  1. 在PC2上打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System路径
  2. 新建名为LocalAccountTokenFilterPolicy的DWORD(32位)值，将数值数据设置为1
  3. 执行gpupdate /force或重启PC2使配置生效

  说明：该限制仅对本地账户的远程认证生效，域账户远程访问不受该机制影响。

• 验证PC2端管理共享访问权限
  远程注册表连接依赖SMB协议下的ADMIN$管理共享作为传输通道，通道权限不足时会直接返回权限拒绝，和注册表本身权限无关：
  1. 确认PC2没有通过组策略或注册表禁用ADMIN$、C$这类默认系统管理共享
  2. 在PC3上打开资源管理器，地址栏输入\\<PC2的IP地址>\ADMIN$，输入PC2本地管理员的账号密码，验证是否能正常打开该共享目录
  3. 如果共享访问失败，优先排查Server服务、SMB功能开启状态、共享权限配置，通道通了注册表连接才能正常工作。
• 清理PC3端冲突的缓存凭据
  由于你给PC3分配了原PC1的静态IP，如果PC2或PC3上缓存过旧的对应IP的连接凭据，会导致认证阶段凭据匹配失败返回权限错误。可以在PC3上执行cmdkey /list查看所有缓存的网络凭据，删除所有和PC2相关的条目后重新运行程序测试。

内容的提问来源于stack exchange，提问作者mr odus