SYSTEM权限程序远程启动OPC服务器遇DCOM错误2147942405求解决

首先，先明确你遇到的错误码2147942405对应的是“拒绝访问”（Access Denied）——这说明除了常规的DCOM默认权限配置，还有几个容易被忽略的环节需要排查：

• 检查远程机器上OPC服务器的专属权限，而非仅默认限制
  打开dcomcnfg后，别只在“组件服务-计算机-我的电脑-属性-COM安全”里改全局权限，一定要找到你要启动的那个OPC服务器（yyyyy），右键进入属性-安全标签页：

  • 在“启动和激活权限”里，明确添加本地机器的计算机账户（格式通常是WORKGROUP\本地机器名$或域\本地机器名$），并赋予它“本地启动”“远程启动”“本地激活”“远程激活”权限；
  • 同样在“访问权限”里给这个机器账户添加“本地访问”“远程访问”权限。
    这里要注意：本地SYSTEM权限的程序远程访问时，实际使用的是本地机器的机器账户，而非你登录的用户账户，这是很多人容易漏掉的点。

• 排查远程机器的本地安全策略
  打开secpol.msc，依次检查：

  1. 本地策略-用户权限分配：
     • 确保“从网络访问此计算机”列表中包含本地机器的账户；
     • 同时确认“拒绝从网络访问此计算机”里没有这个账户；
     • 必要时给该账户添加“允许本地登录”权限（远程启动DCOM程序有时会用到）。
  2. 安全选项-网络访问：本地账户的共享和安全模型：
     • 把它设置为“经典 - 本地用户以自己的身份验证”，避免默认的“仅来宾”模式导致身份验证失败。

• 验证远程防火墙的DCOM相关规则
  不要只开135端口，还要确保：

  • 允许OPC服务器的exe程序通过防火墙（无论是入站还是出站）；
  • 启用“远程服务管理”“DCOM服务控制”等相关的防火墙规则；
  • 如果是自定义端口，还要确保动态端口范围（默认是49152-65535）被允许。

• 检查OPC服务器的DCOM身份配置
  回到dcomcnfg里的OPC服务器属性，切换到标识标签页：

  • 如果默认是“启动用户”，可以尝试改为“指定用户”，并输入一个在远程机器上有足够权限的账户（比如管理员账户），测试是否能启动；
  • 注意：如果选择“交互式用户”，远程启动时可能因为没有交互桌面而失败，不建议在远程启动场景使用。

• 查看远程机器的事件日志
  别只盯着本地的事件查看器！远程机器的系统日志和应用程序日志里，通常会有更详细的DCOM错误细节——比如明确指出是哪个账户被拒绝了哪个权限，这能帮你精准定位问题。

• 用psexec做快速测试
  下载psexec工具，在本地运行命令：

  psexec \\x.x.x.x -s "远程机器上OPC服务器的完整路径"
  

  -s参数会以SYSTEM权限在远程机器上启动程序。如果这个命令能成功运行，说明DCOM权限本身没问题，可能是你本地程序的DCOM调用参数（比如CLSID错误、启动参数不正确）有问题；如果失败，psexec会给出更具体的错误提示，帮你缩小排查范围。

• 确认OPC服务器本身的可启动性
  先在远程机器上手动启动这个OPC服务器exe，确认它能正常运行（没有依赖缺失、配置错误等问题）。有时候远程启动失败看起来是DCOM错误，但实际是程序本身无法启动导致的。

内容的提问来源于stack exchange，提问作者Aparna