从IIS应用通过WCF打开命名管道通道时遭遇访问被拒绝问题

这个问题我之前处理过好几次，核心原因就是Web应用的运行身份没有被授予访问命名管道的权限——毕竟控制台是用当前登录用户身份运行的，而Web应用是在IIS应用池的身份下执行，两者的权限边界完全不同。结合你给出的堆栈里提到的AppContainerInfo，大概率还涉及到Windows的AppContainer隔离机制（常见于Win8/Server2012及以上系统）。

下面是一步步的解决方案：

1. 给Web应用的运行身份配置管道访问权限 #

首先得明确你的Web应用用的是哪个应用池身份：默认是ApplicationPoolIdentity（格式为IIS AppPool\你的应用池名称），也可能是Network Service或者自定义账户。

代码方式配置（服务端） #

在创建NetNamedPipeBinding的时候，直接添加权限规则：

var pipeBinding = new NetNamedPipeBinding();
// 确保传输安全模式开启（命名管道默认就是Transport）
pipeBinding.Security.Mode = NetNamedPipeSecurityMode.Transport;

// 创建管道安全规则，给目标身份添加读写权限
var appPoolIdentity = "IIS AppPool\\YourAppPoolName"; // 替换成你的应用池名称
var accessRule = new PipeAccessRule(
    appPoolIdentity,
    PipeAccessRights.ReadWrite,
    AccessControlType.Allow
);

pipeBinding.Security.Transport.PipeSettings.AddAccessRule(accessRule);

// 如果系统是Win8/Server2012+，还需要添加AppContainer权限
var appContainerRule = new PipeAccessRule(
    "ALL APPLICATION PACKAGES",
    PipeAccessRights.ReadWrite,
    AccessControlType.Allow
);
pipeBinding.Security.Transport.PipeSettings.AddAccessRule(appContainerRule);

配置文件方式（服务端web.config/app.config） #

如果更倾向于用配置文件管理：

<system.serviceModel>
  <bindings>
    <netNamedPipeBinding>
      <binding name="SecurePipeBinding">
        <security mode="Transport">
          <transport>
            <pipeSettings>
              <accessRules>
                <!-- 替换成你的应用池身份 -->
                <add identity="IIS AppPool\YourAppPoolName" rights="ReadWrite" />
                <!-- 针对AppContainer环境添加的权限 -->
                <add identity="ALL APPLICATION PACKAGES" rights="ReadWrite" />
              </accessRules>
            </pipeSettings>
          </transport>
        </security>
      </binding>
    </netNamedPipeBinding>
  </bindings>
  <!-- 终结点绑定上面定义的binding -->
  <services>
    <service name="YourNamespace.YourService">
      <endpoint address="net.pipe://localhost/YourServiceEndpoint"
                binding="netNamedPipeBinding"
                bindingConfiguration="SecurePipeBinding"
                contract="YourNamespace.IYourServiceContract" />
    </service>
  </services>
</system.serviceModel>

2. 验证应用池身份的正确性 #

如果不确定应用池用的是什么身份，可以打开IIS管理器：

• 找到你的Web应用，右键→管理应用程序→高级设置
• 查看"应用池"字段，然后进入对应的应用池，查看"标识"属性

如果是ApplicationPoolIdentity，一定要用IIS AppPool\应用池名称这个格式，不能直接写应用池名称。

3. 临时测试权限（仅限开发环境） #

如果还不确定是不是权限问题，可以临时给Everyone添加读写权限（绝对不要在生产环境这么做），如果能正常访问，就说明是身份权限的问题，再替换成具体的安全身份：

var everyoneRule = new PipeAccessRule(
    "Everyone",
    PipeAccessRights.ReadWrite,
    AccessControlType.Allow
);
pipeBinding.Security.Transport.PipeSettings.AddAccessRule(everyoneRule);

4. 检查服务端的监听状态 #

确保服务端已经正常启动并监听了命名管道，可以用PowerShell命令查看：

Get-ChildItem \\.\pipe\ | Where-Object {$_.Name -like "*YourServiceEndpoint*"}

如果能看到对应的管道名称，说明服务端监听正常。

内容的提问来源于stack exchange，提问作者Charles Chen