WinterGraveyard,

разница похоже в возможных сценариях использования таких токенов. LogonUser вернет тебе primary token , который можно использовать для запуска нового процесса от имени этого пользователя в функции CreateProcessAsUser. DuplicateToken вернет impersonation token у которого таких прав нет. По сути это дополнительное самоограничение с целью избежать возможной уязвимости с эскалацией привилегий в своем приложении.