凭据提供程序使用场景：从 Windows 10 中删除 CPUS_UNLOCK_WORKSTATION答案

【问题标题】：Credential provider usage scenario: CPUS_UNLOCK_WORKSTATION removed from Windows 10凭据提供程序使用场景：从 Windows 10 中删除 CPUS_UNLOCK_WORKSTATION
【发布时间】：2015-11-18 05:45:23
【问题描述】：

我正在开发一个自定义凭据提供程序，并且需要在运行时知道场景是登录还是解锁会话。为此，我检查了 ICredentialProvider 接口的SetUsageScenario 返回的CREDENTIAL_PROVIDER_USAGE_SCENARIO。

在 Windows 10 上，如果我正在登录或会话被锁定，我总是将 CPUS_LOGON 作为使用场景，而在以前的 Windows 版本上，当会话被锁定时返回 CPUS_UNLOCK_WORKSTATION 并在登录时返回 CPUS_LOGON。

因此，似乎自 Windows 10 以来出现了 MSDN 上未报告的更改。

有没有其他方法可以检测使用场景是否是会话锁定？

【问题讨论】：

如果您与 Microsoft 签订了支持合同（或有能力支付），您可能想尝试将其报告为错误。或者，如果您可以合理地论证它会产生安全问题（当存在第三方提供商时），您可以免费向安全团队报告。
您是否打开了 Microsoft 的错误？如果是这样，请使用已打开问题的链接更新问题！

标签： c++ windows winapi credentials credential-providers

【解决方案1】：

在所有答案中，贾斯汀的答案信息量更大，但没有人提供解决方法来正确恢复 Windows7 的行为。斯科特的回答提到关闭快速用户切换，但这会关闭 Windows7 中可用的功能，使其不是一个合适的解决方法。在仔细阅读了所有可用信息并多次尝试后，我发现以下策略只允许以前登录的用户解锁机器，从而强制 LogonUI 框架发出CPUS_UNLOCK_WORKSTATION 场景，但仍然允许快速用户切换：

Windows Registry Editor Version 5.00

; Computer Configuration -> Windows Settings -> Security Settings ->
; Local Policies -> Security Options "Interactive logon: Do not display last user name"
; Set to "Enabled": asks to unlock the machine only to currently logged user
; https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/interactive-logon-do-not-display-last-user-name
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=dword:00000001

; Computer Configuration -> Administrative Templates -> Windows Components ->
; Windows Logon Options -> "Sign-in last interactive user automatically after a system-initiated restart"
; Set to "Enabled": Prevents last signed user to log in and lock automatically
; after a restart
; https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/manage/component-updates/winlogon-automatic-restart-sign-on--arso-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableAutomaticRestartSignOn"=dword:00000001

; Similar in bevahior to "dontdisplaylastusername" but also disables Fast User
; Switching, which was available in Windows7
; https://docs.microsoft.com/en-us/windows/client-management/mdm/policy-csp-windowslogon#windowslogon-hidefastuserswitching
;[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
;"HideFastUserSwitching"=dword:00000001

【讨论】：

【解决方案2】：

如果您关闭快速用户切换，您将在锁定时收到 CPUS_UNLOCK_WORKSTATION 消息。否则你只会收到 CPUS_LOGON。如果您使用代码中的 Windows API 调用手动锁定 PC，以在打开快速用户开关的情况下锁定，它将锁定发送 CPUS_UNLOCK_WORKSTATION，然后立即注销发送 CPUS_LOGON。我希望这会有所帮助，我没有要发布的声誉分数我自己的答案，所以我编辑了这条评论。

【讨论】：

【解决方案3】：

我目前正在调查相同的问题，并且可能会在 Microsoft 更新文档之前找到解决办法。

虽然我仍然收到 CPUS_LOGON，但我们仍然与锁定用户在同一个会话中。通过使用函数WTSQuerySessionInformationW，您可以验证当前是否有用户登录到当前会话。从那里，您可以像在 CPUS_UNLOCK_WORKSTATION 使用场景中一样继续操作。

更新（2016 年 1 月 18 日）： 微软似乎终于更新了他们关于这个问题的文档。请参阅CREDENTIAL_PROVIDER_USAGE_SCENARIO 文档的以下摘录：

从 Windows 10 开始，CPUS_LOGON 和 CPUS_UNLOCK_WORKSTATION 结合了用户场景。这使系统能够支持多个用户登录到一台机器而不创建和切换不必要的会话。机器上的任何用户都可以登录一次它已被锁定，无需退出当前会话并创建一个新的。因此，CPUS_LOGON 可以同时用于登录到系统或工作站解锁时。然而， CPUS_LOGON 不能在所有情况下都使用。因为政策限制由各种系统强加，有时对用户来说是必要的场景为CPUS_UNLOCK_WORKSTATION。您的凭证提供者应该足够健壮以创建适当的凭证结构根据给它的场景。 Windows 将请求根据情况选择合适的用户场景。一些因素这会影响 CPUS_UNLOCK_WORKSTATION 场景是否必须是使用的包括以下。请注意，这只是可能性。

设备的操作系统。

这是控制台还是远程会话。

组策略，例如隐藏快速用户切换的入口点，或不显示用户姓氏的交互式登录。

需要枚举的凭据提供程序当前用户作为默认磁贴登录系统可以保留跟踪当前用户或利用 API，例如 WTSQuerySessionInformation 获取该信息

【讨论】：

根据 MS 文档 (docs.microsoft.com/en-us/windows/desktop/api/credentialprovider/…)，“实现此场景的凭据提供程序应准备将凭据序列化到本地权威机构进行身份验证。这些凭据提供程序还需要枚举当前登录的用户作为默认磁贴。”我如何将当前登录系统的用户枚举为默认磁贴？我会用哪种方法做到这一点？哪个属性包含默认图块？

【解决方案4】：

您可以尝试 SENS（系统事件通知服务）。这是 Microsoft 提供的通知服务。

https://msdn.microsoft.com/en-us/library/windows/desktop/cc185680(v=vs.85).aspx

它有不同的登录/注销和屏幕锁定/解锁通知事件。它使用 COM+ 接口。我不熟悉凭证提供者的要求，因此我不知道该服务是否会在您需要的环境中运行，或者事件到达的时间是否会满足您的需求，但您可能会对此进行调查。

【讨论】：