icaclsはドライブのルートを置き換えます

Question

私はWindows 2012 R2で動作しています。icaclsを使用してバッチファイルを使用してNTFSパーマネントを管理しようとしています。バッチファイルはほぼ完成しているので、私はそれを管理する経験がはるかに少ない人に手渡しますので、可能な限り簡単にするようにしています。

ドライブルート（E :)が変更されている場合は、すべてのpermを自動的に置き換えたいと考えています。ドライブ全体が既知の構成に復元されます。次に、すべてのサブディレクトリに継承を伝播するルート（管理者、バックアップなど）にいくつかのpermを設定します。 （おそらく、これらの2つの操作は同じicacls呼び出しです）多くのサブディレクトリがあり、それぞれに異なる権限が適用されます。私は、バッチファイルのサブディレクトリ部分を完全に成功させました。

icaclsを使用してドライブルートのすべてのアクセス権を置換できませんでした。私が試してみました：

ICACLS.EXE "E:" /inheritance:r /grant:r "Administrators":(OI)(CI)F /T /Q 

と

ICACLS.EXE "E:" /grant:r "Administrators":(OI)(CI)F /T /Q 

の両方をなし成功を収めて。テストのために、E：へのアクセス権を持つ別のグループを追加しました。バッチファイルが正常に実行されて完了すると、その別のグループにはまだアクセス権があります。それはEのACLから削除されませんでした：

アイデア？

Answer 1

ハァッ、面白い... ICACLSのように見えますが、単にすべての権限を置き換えるのは難しいです。

したがって、まずTAKEOWNを使用して、TrustedInstallerから所有者を変更して、UACの保証を無効にします。管理者\ \/gの組み込み：

その後 CACLS C

fはまた、ICACLS /復元でこれを行うことができますが、それはあなたがACLファイルを準備する必要があります。 ACLファイルにはファイル名が含まれているため、作成するのが面倒です。

これを行うための簡単なBATファイル。

注：ICACLSは本当にうるさいです：

• ACLFileはACLFileは、その中のファイルを指名した、と名前が与えられた相対 にパスされているUTF-16
• するneeedようですicaclsコマンドラインで
• icaclsコマンドラインのフォルダ名の末尾に "\" を含めることはできません。ルートディレクトリの所有者である

---

@echo off 
setlocal 

:: Change the ACL to "BUILTIN\Administrators:(OI)(CI)(F)"  
if exist aclfile.txt del aclfile.txt 

if "%1"=="" echo Requires a filename && exit /b 1 

:: The ACL file is required to be UTF-16 encoded. 
:: Use "icacls FILE /save ACLFILE.txt on a sample 
:: file to get the exact SDDL you want to use 
cmd /u /c echo %~n1 > aclfile.txt 
cmd /u /c echo D:P(A;OICI;FA;;;BA)>>aclfile.txt 

:: Ick, trim the trailing \ 
:: ICACLS is really dumb. 
set pathname=%~dp1 
set pathname=%pathname:~,-1% 
icacls "%pathname%" /restore aclfile.txt