icacls는 드라이브 루트를 대체합니다.

Question

저는 Windows 2012 R2에서 운영 중이며 배치 파일을 사용하여 icacls를 사용하여 NTFS perm을 관리하려고합니다. 배치 파일이 거의 완성 된 후 관리 할 경험이 적은 사람에게 파일을 넘겨 줄 것이므로 가능한 한 그를 쉽게 만들려고합니다.

수정 된 경우 드라이브 루트 (E :)의 모든 perm을 자동으로 바꾸려고합니다. 전체 드라이브가 알려진 구성으로 복원됩니다. 그런 다음 모든 하위 디렉토리에 상속을 통해 전파 할 루트 (관리자, 백업 등)에서 몇 가지 perm을 설정합니다. (아마도이 ​​두 가지 작업은 동일한 icacls 호출입니다.) 많은 하위 디렉토리가 있으며 각 하위 디렉토리에 다른 권한이 적용됩니다. 배치 파일의 하위 디렉토리 부분을 완료하고 성공적으로 처리했습니다.

icacls를 사용하여 드라이브 루트의 모든 사용 권한을 바꿀 수 없었습니다. 나는 시도했다 :

ICACLS.EXE "E:" /inheritance:r /grant:r "Administrators":(OI)(CI)F /T /Q 

및

ICACLS.EXE "E:" /grant:r "Administrators":(OI)(CI)F /T /Q 

모두 성공하지. 테스트를 위해 E :에 액세스 할 수있는 다른 그룹을 추가했습니다. 배치 파일이 성공적으로 완료된 후 다른 그룹은 계속 액세스 할 수 있습니다. E :의 ACL에서 제거되지 않았습니다.

아이디어가 있으십니까?

Answer 1

하하, 재미 있습니다 ... ICACLS는 모든 권한을 간단히 대체하는 것처럼 보입니다.

첫 번째 단계는 TAKEOWN을 사용하여 TrustedInstaller에서 소유자를 변경하고 UAC 보증을 무효화하는 것입니다. 관리자 \ \/g 내장 :

그런 CACLS C

f를 당신은 또한 ICACLS/복원이 작업을 수행 할 수 있습니다,하지만 당신은 ACL 파일을 준비해야합니다. ACL 파일에는 파일 이름이 있으므로 작성하는 것이 더 성가시다.

이렇게하려면 간단한 BAT 파일을 사용하십시오.

참고 : ICACLS 정말 까다로운 경우 : ACLFile 보인다

• 가 UTF-16
• ACLFile이 파일을 임명했다로 neeed하고, 이름이 상대 주어진 경로에 있습니다 icacls 명령 줄에서.
• icacls 명령 줄의 foldername은 "\" 중 하나 일 수 없습니다.
루트 디렉토리의 소유자

---

@echo off 
setlocal 

:: Change the ACL to "BUILTIN\Administrators:(OI)(CI)(F)"  
if exist aclfile.txt del aclfile.txt 

if "%1"=="" echo Requires a filename && exit /b 1 

:: The ACL file is required to be UTF-16 encoded. 
:: Use "icacls FILE /save ACLFILE.txt on a sample 
:: file to get the exact SDDL you want to use 
cmd /u /c echo %~n1 > aclfile.txt 
cmd /u /c echo D:P(A;OICI;FA;;;BA)>>aclfile.txt 

:: Ick, trim the trailing \ 
:: ICACLS is really dumb. 
set pathname=%~dp1 
set pathname=%pathname:~,-1% 
icacls "%pathname%" /restore aclfile.txt