实例化COM+对象报Access Denied间歇性授权错误的问题咨询

• COM+运行身份上下文失效：COM+应用配置的运行账号如果存在密码过期、域/本地组策略刷新时权限被临时回收、RDP多用户会话安全上下文匹配异常的情况，会触发实例化时的权限校验失败，直接抛出未授权错误，是该场景下的最高发诱因。
• COM+应用池异常回收：默认COM+应用如果开启了闲置超时、内存上限回收规则，触发回收时旧VB6 COM对象未被正确释放，新实例的安全上下文未完成加载，空窗期内的实例化请求就会返回权限错误。VB6开发的组件普遍未做完善的对象释放逻辑，极易触发该类异常。
• 安全策略刷新冲突：Windows 2012默认90分钟后台刷新一次安全策略，刷新时如果同时处理大量RDP用户的COM+实例化请求，会出现权限校验并发冲突，临时判定为未授权。
• 资源瓶颈触发校验超时：服务器内存占用超过90%、CPU持续满载超过10分钟时，COM+安全校验模块请求排队超时，默认会返回未授权错误而非超时提示，这类场景下故障频率和业务峰值完全匹配。
• VB6组件内存泄漏：VB6开发的COM+组件长期运行后容易出现内存泄漏，泄漏到一定程度会破坏COM+存储的安全上下文对象，导致权限校验逻辑异常。

• 调整COM+应用基础配置：打开组件服务，进入对应COM+应用的属性页：
  • 标识标签页选择「交互式用户」，或指定一个密码永不过期、加入本地管理员组的固定服务账号，避免身份失效问题
  • 高级标签页将「闲置超时」设为0（永不闲置回收），关闭「内存限制」回收规则，避免异常回收
  • 安全标签页在「启动权限」和「访问权限」中添加所有RDP用户归属的用户组，无强安全要求的话可勾选「允许匿名访问」，避免动态校验失败
• 配置定期回收规则：如果排查确认是组件内存泄漏导致的故障，可配置COM+应用在每日凌晨业务低峰期自动回收一次，无需人工干预即可避免白天出现故障
• 应急操作可不用重启服务器，仅重启对应COM+应用即可恢复，可提前编写批处理脚本通过COMAdmin.COMAdminCatalog接口实现一键重启，不影响其他正常运行的RDP会话

• 排查系统事件日志：优先查看「应用程序日志」中来源为COM+的错误/警告日志，以及「安全日志」中的审核失败日志，故障发生时间点的日志可直接定位是权限校验问题还是资源不足导致的异常
• 监控业务峰值资源指标：持续监控服务器CPU、内存、磁盘IO的占用情况，确认故障是否都出现在资源高负载时段，如果是优先升级服务器配置，或拆分RDP服务与COM+服务到不同服务器部署
• 核对系统更新记录：如果故障是在安装某Windows安全更新后首次出现，优先卸载对应KB验证，2022年后发布的部分Windows 2012安全更新修改了COM+安全校验逻辑，对旧VB6开发的COM+组件兼容性极差
• 开启COM+调试日志：在组件服务「我的电脑」属性的「选项」标签页，将COM+调试日志级别调整为最高，重现故障后可获取到具体的校验失败模块信息，精准定位根因

内容的提问来源于stack exchange，提问作者Moshe Yalovsky