C# 7.0中运行在SYSTEM权限下的服务能否启动不同安全上下文的线程

该场景完全可以在C# 7.0中实现，本身运行在SYSTEM权限下的服务拥有足够特权完成不同线程的安全上下文隔离模拟，具体实现方案如下：

• 安全上下文是线程本地属性，不同线程的模拟身份不会互相干扰，刚好匹配你的需求
• 首先通过Win32 API LogonUser 或者 DuplicateTokenEx 获取目标安全主体的访问令牌
• 在对应线程的执行入口处，用WindowsIdentity.Impersonate()方法加载令牌进入模拟上下文，线程后续的所有资源访问、系统调用都会使用该模拟身份的权限
• 模拟上下文使用完毕后需要及时释放，避免资源泄漏

using System;
using System.Runtime.InteropServices;
using System.Security.Principal;
using System.Threading;

public class SecurityContextHelper
{
    [DllImport("advapi32.dll", SetLastError = true, CharSet = CharSet.Unicode)]
    private static extern bool LogonUser(string lpszUsername, string lpszDomain, string lpszPassword,
        int dwLogonType, int dwLogonProvider, out IntPtr phToken);
    
    [DllImport("kernel32.dll", CharSet = CharSet.Auto)]
    private static extern bool CloseHandle(IntPtr handle);

    // 服务类型登录，适配NT Service类账号的模拟场景
    private const int LOGON32_LOGON_SERVICE = 5;
    private const int LOGON32_PROVIDER_DEFAULT = 0;

    public static void RunAsUser(string domain, string username, string password, Action work)
    {
        IntPtr token = IntPtr.Zero;
        try
        {
            bool logonSuccess = LogonUser(username, domain, password, 
                LOGON32_LOGON_SERVICE, LOGON32_PROVIDER_DEFAULT, out token);
            if (!logonSuccess)
                throw new System.ComponentModel.Win32Exception(Marshal.GetLastWin32Error());
            
            using (WindowsIdentity identity = new WindowsIdentity(token))
            using (WindowsImpersonationContext context = identity.Impersonate())
            {
                // 此处执行的代码都运行在模拟的安全上下文下
                work?.Invoke();
                context.Undo();
            }
        }
        finally
        {
            if (token != IntPtr.Zero)
                CloseHandle(token);
        }
    }
}

// 调用示例
public class ServiceWorker
{
    public void StartWorkThreads()
    {
        // 线程1：默认使用服务本身的SYSTEM身份运行，无需额外模拟
        Thread systemThread = new Thread(RunSystemPermissionWork);
        systemThread.Start();
        
        // 线程2：模拟指定NT Service账号运行
        Thread serviceAccountThread = new Thread(() =>
        {
            // 示例为模拟 NT SERVICE\MyService 账号，密码传空即可
            SecurityContextHelper.RunAsUser("NT SERVICE", "MyService", "", RunServiceAccountPermissionWork);
        });
        serviceAccountThread.Start();
    }

    private void RunSystemPermissionWork()
    {
        // 此处为SYSTEM身份执行的业务逻辑
    }

    private void RunServiceAccountPermissionWork()
    {
        // 此处为NT Service身份执行的业务逻辑
    }
}

• 模拟虚拟服务账号（前缀为NT SERVICE的内置账号）时，LogonUser的密码参数直接传空字符串即可，SYSTEM权限下无需提供这类账号的明文密码
• 运行在SYSTEM权限下的服务默认已经拥有SeImpersonatePrivilege模拟特权，无需额外配置
• 上述语法完全兼容C# 7.0，可在.NET Framework 4.6+、.NET Core 2.0+及更高版本的运行时中正常运行
• 如果使用Task而非Thread启动异步逻辑，需要手动关闭安全上下文的异步流动，避免模拟身份意外传递到其他Task，直接使用Thread的场景不存在该问题

内容的提问来源于stack exchange，提问作者jbalajkpm