Web应用调用WMI Get API访问Windows服务配置出现Access Denied错误

问题根因 #

该「访问被拒绝」报错的核心原因是Web应用的运行身份默认没有WMI服务的访问权限，以及后续服务配置文件的读取权限，本地开发环境运行时你使用的是具备本地管理员权限的账户，所以访问正常，服务器上的低权限内置账户没有对应权限导致报错。

解决方案步骤 #

1. 配置WMI命名空间访问权限 #

你需要给应用运行账户开放WMI的Root\CIMv2命名空间访问权限：

• 服务器上运行wmimgmt.msc打开WMI管理控制台
• 右键点击「WMI控制(本地)」，选择「属性」
• 切换到「安全」标签页，展开根节点，选中CIMV2，点击下方「安全」按钮
• 添加你的应用池运行账户：如果你使用默认应用池标识，账户名格式为IIS AppPool\你的应用池实际名称；如果用的是Network Service就选NETWORK SERVICE；如果你开启的模拟需要用客户端身份访问，就添加对应的域/本地用户账户
• 给该账户授予以下权限：
  • 启用账户
  • 远程启用
  • 读取权限
• 保存配置后运行net stop winmgmt && net start winmgmt重启WMI服务生效

2. 配置服务程序目录的读取权限 #

后续你需要读取服务的配置文件，还需要给同一个运行账户开放服务exe所在目录的读取权限：

• 找到目标Windows服务的exe存放文件夹
• 右键文件夹选择「属性」→「安全」标签
• 添加上述应用池运行账户，授予「读取和执行」、「列出文件夹内容」、「读取」权限后保存

3. 模拟功能适配 #

你开启了ASP.NET模拟和Windows身份验证，默认WMI调用会使用当前登录的客户端用户身份执行，如果你需要固定用应用池身份执行WMI查询，可以在WMI代码块前后临时关闭模拟：

using System.Security.Principal;

WindowsImpersonationContext impersonationContext = null;
// 切换到应用池身份执行
if (WindowsIdentity.GetCurrent().ImpersonationLevel != TokenImpersonationLevel.None)
{
    impersonationContext = WindowsIdentity.Impersonate(IntPtr.Zero);
}
try
{
    // 原有WMI查询和配置读取逻辑放在这里
    using (ManagementObject wmiService = new ManagementObject("Win32_Service.Name='" + ServiceName + "'"))
    {
        wmiService.Get();
        string ServiceExePath = wmiService["PathName"].ToString();
        List<char> invalidPathChars = Path.GetInvalidPathChars().ToList();
        invalidPathChars.ForEach(c => ServiceExePath = ServiceExePath.Replace(c.ToString(), String.Empty));
        System.Configuration.Configuration config = ConfigurationManager.OpenExeConfiguration(ServiceExePath); 
        List<string> lsIP_Port = config.AppSettings.Settings["TcpServerListeners"].Value.Split(',').ToList();
        // 后续业务逻辑
    }
}
finally
{
    // 恢复模拟
    impersonationContext?.Undo();
}

额外提示：你现有代码中直接拼接WMI查询字符串的写法存在注入风险，建议提前校验ServiceName的合法性，避免包含单引号等特殊字符导致异常或者安全问题。

内容的提问来源于stack exchange，提问作者NoBullMan