父进程以NT Authority\SYSTEM运行时Process.Start()出现权限拒绝问题

我之前在做服务端启动工具时，也踩过这个SYSTEM账号启动跨用户进程的坑，给你几个实用的排查方向和解决方案：

• 确认目标用户的登录权限配置
  SYSTEM账号虽然权限极高，但要启动其他用户的进程，目标用户必须具备对应的登录权限。你可以打开「本地安全策略」→「本地策略」→「用户权限分配」，检查目标用户是否拥有：

  • 允许本地登录
  • 作为服务登录
    另外还要确保目标用户账号没有被禁用，密码也没有过期。

• 检查ProcessStartInfo的关键参数
  这是最容易出错的地方，一定要确保以下几个参数设置正确：

  • 必须设置 UseShellExecute = false：SYSTEM账号下的Shell执行环境和普通用户完全不同，开启这个选项会导致无法正确加载目标用户的上下文。
  • 开启 LoadUserProfile = true：如果不加载目标用户的配置文件，进程启动时会缺少必要的环境变量和注册表项，大概率会触发权限错误。
  • 正确填写Domain参数：如果是本地用户，Domain填.或者机器名；如果是域用户，填写对应的域名。
    示例代码片段：

  var securePassword = new SecureString();
  foreach (char c in "target-user-password")
  {
      securePassword.AppendChar(c);
  }
  
  var startInfo = new ProcessStartInfo
  {
      FileName = @"C:\path\to\your\process.exe",
      UserName = "TargetUserName",
      Password = securePassword,
      Domain = ".", // 本地用户用"."
      UseShellExecute = false,
      LoadUserProfile = true,
      CreateNoWindow = false // 如果进程需要UI交互，设为false
  };
  
  try
  {
      Process.Start(startInfo);
  }
  catch (Exception ex)
  {
      // 建议写入事件日志，SYSTEM环境下控制台看不到输出
      EventLog.WriteEntry("MyLauncher", 
          $"启动失败: {ex.Message}\n错误码: {ex.HResult}\n堆栈: {ex.StackTrace}", 
          EventLogEntryType.Error);
  }
  

• 处理会话隔离与桌面交互问题
  Windows从Vista开始引入了会话隔离机制：SYSTEM账号默认运行在会话0，而普通交互式用户在会话1及以上。如果你的派生进程需要显示UI，直接用Process.Start会因为跨会话权限问题失败。这种情况下，你需要：

  1. 用WTSEnumerateSessionsAPI找到目标用户所在的会话ID
  2. 使用CreateProcessAsUserAPI在目标会话中启动进程，同时指定CREATE_NEW_CONSOLE或CREATE_NO_WINDOW等标志，并且关联到目标用户的桌面（通常是WinSta0\Default）。

• 捕获更详细的错误信息
  SYSTEM身份运行的程序，控制台输出是看不到的，所以一定要把异常的详细信息（包括HResult、InnerException）写入Windows事件日志，这样能帮你更精准定位问题——比如某些情况下，错误码会指向“用户配置文件加载失败”或者“会话权限不足”，而不是泛泛的Access Denied。

如果按照上面的步骤排查后还是有问题，可以检查目标进程的路径是否对SYSTEM账号可见（比如不要放在用户私有目录下），或者尝试用本地管理员账号测试，对比差异。

内容的提问来源于stack exchange，提问作者RichB