使用 icacls 删除文件权限

Question

有人可以帮助我使用 icacls 从文件中删除特定的安全组吗？

该文件具有从文件所在文件夹继承的所有安全设置。所以我想从文件的 ACL 列表中删除所有组，然后分配不同的组。

我怎样才能做到这一点？

Answer 1

首先，您需要删除对象上的继承，您可以通过运行：（您要更改的文件icacls file.txt /inheritance:d在哪里file.txt）来完成。

这将删除继承，但将继承的 ACL 复制到file.txt. 如果您确定不需要任何继承的 ACL，您可以使用: icacls file.txt /inheritance:r，但请注意不要在执行此操作时意外删除您自己的权限。

然后，您可以使用以下命令从对象的 ACL 中删除用户或组：icacls file.txt /remove:g NTDOMAIN\sAMAccountName，或者您可以使用 UPN（例如，bob.smith@activedirectory.example.com）指定用户/组。

当您将用户/组添加到 ACL 时，您需要考虑您希望他们拥有哪些权限。如果full control，则由 表示F。如果modify，则由 表示M。Read and Execute按字母RX。

将用户/组添加到 ACL 的命令是：icacls file.txt /grant NTDOMAIN\sAMAccountName:(M)- 这将授予我们指定的任何帐户/组的modify权限(M)。

您可能希望在删除文件继承之前将显式用户/组添加到 ACL ，而不是“从文件的 ACL 列表中删除所有组，然后分配不同的组”，因为这最终可能会将您从 ACL 中删除并将你拒之门外。