显示或修改指定文件上的随机访问控制列表 (DACL),存储存储的 DACL 来检查指定目录中的文件。
备注
该命令替换已废弃使用的cacls 命令。
icacls <filename> [/grant[:r] <sid>:<perm>[...]] [/deny <sid>:<perm>[...]] [/remove[:g|:d]] <sid>[...]] [/t] [/c] [/l] [/q] [/setintegritylevel <Level>:<policy>[...]]
icacls <directory> [/substitute <sidold> <sidnew> [...]] [/restore <aclfile> [/c] [/l] [/q]]
参数 | 说明 |
---|---|
<文件名> | 指定要显示或修改DACL的文件。 |
<目录> | 指定要显示或修改 DACL 的目录。 |
/吨 | 对当前目录及其子目录中的所有指定文件执行操作。 |
/C | 尽管存在任何文件错误,但仍继续操作。仍会显示错误消息。 |
/l | 对符号链接而不是其目标执行操作。 |
/q | 抑制成功消息。 |
[/save <ACL 文件> [/t] [/c] [/l] [/q]] | 将所有匹配文件的 DACL 存储到访问控制列表 (ACL) 文件中,供以后与 /restore 一起使用。 |
[/setowner <用户名> [/t] [/c] [/l] [/q]] | 将所有匹配文件的所有者更改为指定用户。 |
[/findsid <sid> [/t] [/c] [/l] [/q]] | 查找包含显式指定安全标识符 (SID) 的 DACL 的所有匹配文件。 |
[/验证[/t] [/c] [/l] [/q]] | 查找具有非规范 ACL 或长度与访问控制项 (ACE) 统计差异的所有文件。 |
[/重置[/t] [/c] [/l] [/q]] | 将 ACL 替换为所有匹配文件的默认继承 ACL。 |
[/grant[:r] <sid>:<perm>[...]] | 指定分配的用户访问权限。权限替换了以前分配的显式权限。 不添加 :r,表示将权限添加到以前的任何显式权限。 |
[/拒绝 <sid>:<权限>[...]] | 显式拒绝指定的用户访问权限。为指定权限添加显式拒绝 ACE,并删除任何显式拒绝中的相同权限。 |
[/删除[:g | :d]] <sid>[...] [/t] [/c] [/l] [/q] | 从DACL中删除所有出现的指定SID。命令还可以使用:
|
[/setintegritylevel [(CI)(OI)] <级别>:<策略>[...]] | 将区分ACE显式添加到所有匹配文件。级别可以指定为:
|
[/替换 <sidold><sidnew> [...]] | 将现有 SID (sidold) 替换为新 SID (sidnew)。 需要与<directory> 参数一起使用。 |
/restore <ACL 文件> [/c] [/l] [/q] | 将<ACLfile> 中存储的DACL指定目录中的文件。需要与<directory> 参数一起使用。 |
/继承级别:[e | d | r] | 设置继承级别,可以是:
|
SID可以采用数字或易记名称形式。如果使用数字形式,则可通配符*附加到SID的目录。
该命令将 ACE 边界的规范顺序保留为:
显式拒绝
显式铸造
继承的拒绝
继承的夺取
<perm>
选项是一个权限掩码,可采用以下形式指定:
一系列简单权限(基本权限):
F-完全访问
M - 修改访问权限
RX - 读取和执行访问权限
R--访问
W-只写访问
中间逗号以逗号分隔特定的权限(高级权限)列表:
D-删除
RC - 读取控制(读取权限)
WDAC - 写入 DAC(更改权限)
WO - 写入业主(获取香烟)
S-同步
AS访问系统安全性
MA - 允许的尖端
GR - 泛型读取
GW - 泛型写入
GE--泛型执行
GA - 泛型全部
RD - 读取数据/列表目录
WD - 写入数据/添加文件
AD - 追加数据/添加子目录
REA - 读取扩展属性
WEA - 读取扩展属性
X - 执行/遍历
DC--删除子级
RA - 读取属性
WA - 读取属性
继承权可以先于以下任一<perm>
形式:
(I) - 继承。 ACE 继承自父容器。
(OI) - 对象继承。此容器中的对象将继承此 ACE。仅适用于目录。
(CI) - 容器继承。此父容器中的容器将继承此 ACE。仅适用于目录。
(IO) - 仅继承。 ACE 继承自父容器,但不用于对象本身。 仅适用于目录。
(NP) - 不传播继承。ACE 由容器和对象从父容器继承,但不会传播到容器。仅适用于目录。
若要将 C:\Windows 目录及其子目录中所有文件的 DACL 保存到 ACLFile 文件,请键入:
icacls c:\windows\* /save aclfile /t
若要还原 C:\Windows 目录及其子目录中存在的 ACLFile 中每个文件的 DACL,请键入:
icacls c:\windows\ /restore aclfile
若要向用户 User1 授予对名为 Test1 的文件的删除并读取 DAC 权限,请键入:
icacls test1 /grant User1:(d,wdac)
要向 SID S-1-1-0 定义的用户对名为 Test2 的文件的删除并读取 DAC 权限,请键入:
icacls test2 /grant *S-1-1-0:(d,wdac)
联系客服