Установка Запретить разрешения с ICACLS на "Эта папка"
ICACLS "{PATH}" /DENY "{AD Group}:(D)"
Я хочу запретить {AD Group} удалять родительскую папку, но у меня все еще есть права на удаление дочерней папки и файлов. Однако, когда я устанавливаю DENY Delete на родительском объекте, он запрещает доступ к этой папке.
Я прочитал, что это ошибка синхронизации, но если я установил (D, S), я могу пройти по папке, но я также могу удалить ее.
В настоящее время ACL_FILE_IST является единственным разрешением для папки.
Кто-нибудь видел обходной путь?
ICACL КОМАНДЫ
- ICACLS "C: \ TEMP \ TestPermissions" / GRANT "ACL_FILE_IST: (OI) (CI) (M)"
- ICACLS "C: \ TEMP \ TestPermissions" / DENY "ACL_FILE_IST: (D)"
ICACLS ACL
testpermissions
D: ИАП (Д;;0x110000;;;S-1-5-21-964777865-1556211951-2005962405-8309)(А;OICI;0x1301bf;;;S-1-5-21-964777865-1556211951-2005962405-8309)
2 ответа
Для всех, кто найдет этот пост 6,5-летней давности, это то, что исправило для меня - https://devblogs.microsoft.com/oldnewthing/20191118-00/?p=103110 - используя исходную команду OP, вы должны использовать ICACLS " {PATH} "/ DENY" {AD Group}:(DE) "- просто добавьте DE вместо D, который, как указано в статье, содержит ошибку или сбой, в котором удаляются синхронизация и удаление. Раздражает, но это легко исправить.
Я использовал сторонний инструмент SETACL, чтобы исправить проблему. Похоже, работает.
SETACL -ON "{PATH}" -OT FILE -ACTN ACE -ACE "N:{AD_GROUP};P:DELETE;I:NP;M:DENY"
Попробуй и протестируй> icacls "путь" / запрети ADgroup:(CI)D