使用PowerShell清除文件夹上的所有ACL

Question

我对powershell脚本编写还比较新（学习powershell不到1个月）。

我正在使用powershell 2.0编写一个脚本来清除文件夹的NTFS ACL。我想删除除管理员外的所有acl。

我的问题是，我找不到一种方法来删除不是管理员的每个acl，而不知道它们的名称。

所以我来这里寻求powershell专家的帮助。

- Anarko_Bizounours

Answer 1

这段代码移除了 ACL：

$acl = Get-Acl \\remote_server\share_folder\HAL.9000
$acl.Access | %{$acl.RemoveAccessRule($_)}

这段代码添加管理员访问控制列表：

#BUILTIN administrator

$acl = Get-Acl \\remote_server\share_folder\HAL.9000
$permission  = "BUILTIN\Administrators","FullControl", "ContainerInherit,ObjectInherit","None","Allow"
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission
$acl.SetAccessRule($accessRule)
Set-Acl \\remote_server\share_folder\HAL.9000 $acl

#Domain controller administrator

$acl = Get-Acl \\remote_server\share_folder\HAL.9000
$permission  = "DOMAINCONTROLLER\Administrators","FullControl", "ContainerInherit,ObjectInherit","None","Allow"
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission
$acl.SetAccessRule($accessRule)
Set-Acl \\remote_server\share_folder\HAL.9000 $acl

希望这能帮助到某些人 :)

- Anarko_Bizounours

---

你不需要在删除继承规则之前禁用继承吗？ - Nathan Hartley

你肯定要禁用继承，但是在共享服务器上使用继承是一个糟糕的选择，这样会搞乱一切，所以我在创建新服务器时总是禁用它们，这样就不会有问题了。就我的脚本而言，继承并不是一个问题，脚本会删除acl并创建一个干净的新acl。如果出现问题，我会尝试找到禁用继承的方法。 - Anarko_Bizounours

你好，它不再工作了。我收到以下错误：Exception calling "SetAccessRule" with "1" argument(s): "Some or all identity references could not be translated." 在第27行字符1处：

• $acl.SetAccessRule($accessRule)
• + CategoryInfo : NotSpecified: (:) [], MethodInvocationException + FullyQualifiedErrorId : IdentityNotMappedException

- Luca

Answer 2

为了方便起见，我将所有内容复制/粘贴到一个函数中。如果对任何人有用，我在此提供：

Function Remove-ACL {    
    [CmdletBinding(SupportsShouldProcess=$True)]
    Param(
        [parameter(Mandatory=$true,ValueFromPipeline=$true,Position=0)]
        [ValidateNotNullOrEmpty()]
        [ValidateScript({Test-Path $_ -PathType Container})]
        [String[]]$Folder,
        [Switch]$Recurse
    )

    Process {

        foreach ($f in $Folder) {

            if ($Recurse) {$Folders = $(Get-ChildItem $f -Recurse -Directory).FullName} else {$Folders = $f}

            if ($Folders -ne $null) {

                $Folders | ForEach-Object {

                    # Remove inheritance
                    $acl = Get-Acl $_
                    $acl.SetAccessRuleProtection($true,$true)
                    Set-Acl $_ $acl

                    # Remove ACL
                    $acl = Get-Acl $_
                    $acl.Access | %{$acl.RemoveAccessRule($_)} | Out-Null

                    # Add local admin
                    $permission  = "BUILTIN\Administrators","FullControl", "ContainerInherit,ObjectInherit","None","Allow"
                    $rule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission
                    $acl.SetAccessRule($rule)

                    Set-Acl $_ $acl

                    Write-Verbose "Remove-HCacl: Inheritance disabled and permissions removed from $_"
                }
            }
            else {
                Write-Verbose "Remove-HCacl: No subfolders found for $f"
            }
        }
    }
}

用法：

# For only one folder:
Remove-ACL 'C:\Folder' -Verbose

# For all subfolders:
Remove-ACL 'C:\Folder' -Recurse -Verbose

# Pipe stuff
'C:\Folder 1', 'C:\Folder 2' | Remove-ACL -Verbose

- DarkLite1

Answer 3

这段代码用于移除访问控制列表（ACL）：$acl = Get-Acl \remote_server\share_folder\HAL.9000 $acl.Access | %{$acl.RemoveAccessRule($_)}

但是在执行之前，需要进行以下操作：

Set-Acl \\remote_server\share_folder\HAL.9000 $acl

- Alexander Dyakov

Answer 4

为什么不创建一个新列表。例如：

$identity = New-Object System.Security.Principal.NTAccount('NT AUTHORITY\SYSTEM')
$acl = New-Object System.Security.AccessControl.DirectorySecurity
$acl.SetOwner($identity)
$acl.SetGroup($identity)
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule('NT AUTHORITY\SYSTEM', ’FullControl’, ’ContainerInherit, ObjectInherit’, ’None’,’Allow’)
$acl.AddAccessRule($rule)
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule('BUILTIN\Administrators', ’FullControl’, ’ContainerInherit, ObjectInherit’, ’None’, ’Allow’)
$acl.AddAccessRule($rule)
Set-Acl -LiteralPath "C:\MyFolder" -AclObject $acl
Get-Acl -LiteralPath "C:\MyFolder" | Format-List

- Viktor Briukhanov