Windows服务用户帐户无法访问证书存储区

Question

背景

我有一个Windows 7 VM，带有两个用于源代码编译的用户帐户（condor_usr1和condor_usr2）。 condor_usr [1 | 2]帐户是管理员组的成员。我有一个HTCondor主VM，该VM定期接收作业并分配每个作业以在condor_usr [1 | 2]帐户之一上运行。 Win7 VM上的condor服务以本地系统帐户身份运行，但是实际上正在执行的作业以condor_usr [1 | 2]帐户身份运行。

我对签名已编译的可执行文件有新的要求。我已将带有私钥的证书导入Windows证书存储区中的当前用户\个人密钥存储区。

问题

如果我以condor_usr帐户之一登录Win7 VM（例如，通过远程桌面），则以该帐户运行的编译将成功对可执行文件进行签名，但以另一个帐户运行的编译将无法对可执行文件进行签名。例如，如果我以condor_usr2身份登录，则在condor_usr2下运行的编译将成功签名，而在condor_usr1下运行的编译将无法签名。如果我注销，则两个帐户都无法登录。

我收到的具体错误是：

C:\Program Files (x86)\Microsoft Visual Studio\2017\Professional\MSBuild\Microsoft\VisualStudio\v15.0\OfficeTools\Microsoft.VisualStudio.Tools.Office.targets(264,9): error MSB3482: An error occurred while signing: The system cannot find the file specified.

打开一些审核日志记录，发现以下与签名失败同时发生的日志。

目标

成功签名已编译的可执行文件，而不管编译运行的是哪个帐户，并且不需要用户登录。

到目前为止我已经弄清楚了

• 正在编译的代码/项目是Visual Studio 2017解决方案。
• 签名方法是ClickOnce清单签名（VS2017项目中的一个选项）。
• 启动编译作业时，该作业使用登录类型2（交互式登录）以condor_usr [1 | 2]身份登录。 https://ss64.com/nt/syntax-logon-types.html

我尝试过的事情

除非另有说明，否则这些操作无效且已恢复。

• 将condor_usr帐户添加到“加密操作员”组。
• 将带有私钥的证书导入本地计算机\个人密钥存储。
  • 授予网络服务帐户对证书/私钥的完全控制权限。 https://community.dynamics.com/nav/b/technicaltipsandtricksfordynamicsnav/posts/how-to-grant-access-to-the-certificate-s-private-key-to-the-service-account-for-microsoft-dynamics-nav-server
• 使用PsExec -h make.bat获取帐户的提升令牌。 https://docs.microsoft.com/en-us/sysinternals/downloads/psexec
• 我认为用户帐户控制（UAC）可能会阻止系统帐户和/或condor_usr帐户访问证书存储（或证书存储中的私钥），但在Win7 VM上已禁用UAC。
li>
• 我将原始.pfx证书文件放置在VS2017解决方案中，并将其目标而不是证书存储在密钥存储区中。这没有任何效果，这使我相信该问题是某种形式的签名权限，而不是（或者可能是）纯粹围绕实际证书存储的权限。
• 我尝试通过远程桌面登录时开始工作，然后在工作到达签名部分之前注销了远程桌面会话（实际注销，而不是断开连接）。签名失败。

Answer 1

通过确保本地策略“计算机配置\ Windows设置\安全设置\本地策略\用户权限分配\以本地身份登录”中存在的帐户，确保该过程中涉及的所有帐户都具有“作为服务登录”权限。服务”。请注意，此更改将在下一次帐户所有者登录时生效。

尝试直接以“ condor_usr1”而不是“本地系统”帐户运行HTCondor服务。