如何模拟已登录用户？PowerShell安全上下文服务调用异常问题

首先，这个错误Either a required impersonation level was not provided, or the provided impersonation level is invalid的核心原因是：PowerShell的默认安全上下文和你使用的EXE客户端存在权限差异，导致调用服务时无法满足所需的模拟权限要求。下面是针对性的排查和解决步骤：

1. 先确认当前PowerShell的模拟级别 #

先在PowerShell里运行这条命令，查看当前的模拟权限等级：

[System.Security.Principal.WindowsIdentity]::GetCurrent().ImpersonationLevel

正常情况下，交互式启动的EXE这个值应该是Impersonate；如果PowerShell里显示的是None或者Anonymous，那就是核心问题——PS没有足够的模拟权限来调用服务方法。

2. 显式在PowerShell中启用模拟 #

如果当前模拟级别不够，可以通过代码显式创建模拟上下文，再调用你的DLL方法：

# 获取当前用户身份
$currentIdentity = [System.Security.Principal.WindowsIdentity]::GetCurrent()
# 启动模拟
$impersonationContext = $currentIdentity.Impersonate()

try {
    # 在这里调用你的DLL服务方法，比如：
    # [YourDllNamespace.YourClass]::YourServiceMethod($params)
}
finally {
    # 务必撤销模拟，避免权限泄漏
    $impersonationContext.Undo()
}

3. 确保PowerShell运行在正确的用户上下文 #

你提到EXE用相同用户启动没问题，那要确保PowerShell也是用完全相同的用户身份启动：

• 如果是本地用户，直接右键PowerShell选择「以管理员身份运行」（如果服务需要管理员权限）
• 如果是域用户，用runas命令启动PS：

runas /user:你的域\用户名 powershell.exe

输入密码后，在这个新PS窗口里再调用DLL，上下文就和EXE一致了。

4. 检查服务的安全配置 #

打开服务管理控制台（services.msc），找到你的Windows服务：

• 右键→属性→登录选项卡，确认登录账户和你启动EXE的用户完全一致
• 也可以用命令行快速检查服务配置：

sc qc 你的服务名称

查看SERVICE_START_NAME字段，确保和EXE的启动用户匹配。如果服务用LocalSystem运行，可能需要调整客户端的模拟级别要求。

5. 验证用户的模拟权限 #

有些情况下，用户账户没有被授予SeImpersonatePrivilege权限，导致无法模拟：

• 在PowerShell里运行whoami /priv，查看权限列表里是否有SeImpersonatePrivilege，状态为「已启用」
• 如果没有，打开「本地安全策略」→「本地策略」→「用户权限分配」，找到「允许模拟客户端身份」，把你的用户添加进去，然后重启PowerShell和服务。

6. 检查DLL/服务的调用协议（比如WCF） #

如果你的DLL是通过WCF调用服务的，要确保服务端和客户端的安全配置匹配：

• 服务端的WCF配置里，需要设置正确的模拟级别，比如：

<bindings>
  <netTcpBinding>
    <binding name="YourBinding">
      <security mode="Transport">
        <transport clientCredentialType="Windows" impersonationLevel="Impersonate"/>
      </security>
    </binding>
  </netTcpBinding>
</bindings>

这样客户端（PowerShell）调用时才能提供符合要求的模拟级别。

内容的提问来源于stack exchange，提问作者isxaker