在Windows Vista和Windows Server 2003 Service Pack 2中，微軟提供了一個(gè)新的命令行工具Icacls,你可以使用它來查看、設(shè)置、保存并恢復(fù)文件夾或文件的權(quán)限。它在功能上比以往的Cacls更為強(qiáng)大。

ICACLS name /save aclfile [/T] [/C] [/L] [/Q]

將所有匹配名稱的 ACL 存儲(chǔ)到 aclfile 中以便將來用于 /restore.

ICACLS directory [/substitute SidOld SidNew […]] /restore aclfile

[/C] [/L] [/Q]

將存儲(chǔ)的 ACL 應(yīng)用于目錄中的文件。

ICACLS name /setowner user [/T] [/C] [/L] [/Q]

更改所有匹配名稱的所有者。

ICACLS name /findsid Sid [/T] [/C] [/L] [/Q]

查找包含顯式提及 SID 的 ACL 的所有匹配名稱。

ICACLS name /verify [/T] [/C] [/L] [/Q]

查找 ACL 不標(biāo)準(zhǔn)或長度與 ACE 計(jì)數(shù)不一致的所有文件。

ICACLS name /reset [/T] [/C] [/L] [/Q]

為所有匹配文件使用默認(rèn)繼承的 ACL 替換 ACL

ICACLS name [/grant[:r] Sid:perm[…]]

[/deny Sid:perm […]]

[/remove[:g|:d]] Sid[…]] [/T] [/C] [/L]

[/setintegritylevel Level:policy[…]]

/grant[:r] Sid:perm 授予指定用戶訪問權(quán)限。使用 :r,

該權(quán)限將替換以前授予的所有顯式權(quán)限。

不使用 :r,該權(quán)限將添加到以前授予的所有顯式權(quán)限。

/deny Sid:perm 顯式拒絕指定的用戶訪問權(quán)限。

已經(jīng)為規(guī)定的權(quán)限添加了顯式拒絕 ACE,

刪除所有顯式授予的權(quán)限中的相同權(quán)限。

/remove[:[g|d]] Sid 刪除 ACL 中所有出現(xiàn)的 SID.使用

:g,刪除授予該 SID 的所有權(quán)限。使用

:d,刪除拒絕該 SID 的所有權(quán)限。

/setintegritylevel [(CI)(OI)] 級(jí)別將完整性 ACE 顯式添加到所有匹配文件。要指定的級(jí)別為以下級(jí)別之一：

L[ow]

M[edium]

H[igh]

完整性 ACE 的繼承選項(xiàng)可以優(yōu)先于級(jí)別，但只應(yīng)用于目錄。

注意：

Sids 可能是數(shù)字格式或友好的名稱格式。如果給定數(shù)字格式，

那么請(qǐng)?jiān)?SID 的開頭添加一個(gè) *.

/T 指示在以該名稱指定的目錄下的所有匹配文件/目錄上

執(zhí)行此操作。

/C 指示該操作將在所有文件錯(cuò)誤上繼續(xù)。仍將顯示錯(cuò)誤消息。

/L 指示此操作在符號(hào)鏈接本身而不是其目標(biāo)上執(zhí)行。

/Q 表示 icacls 應(yīng)該壓制成功的消息。

ICACLS 保留 ACE 項(xiàng)的規(guī)范順序：

顯式拒絕

顯式授予

繼承的拒絕

繼承的授予

perm 是權(quán)限掩碼，可以兩種格式之一指定：

簡單權(quán)限序列：

F - 完全訪問權(quán)限

M - 修改權(quán)限

RX - 讀取和執(zhí)行權(quán)限

R - 只讀權(quán)限

W - 只寫權(quán)限

在括號(hào)中以逗號(hào)分隔列表的特定權(quán)限：

D - 刪除

RC - 讀取控制

WDAC - 寫入 DAC

WO - 寫入所有者

S - 同步

AS - 訪問系統(tǒng)安全性

MA - 允許的最大值

GR - 一般性讀取

GW - 一般性寫入

GE - 一般性執(zhí)行

GA - 全為一般性

RD - 讀取數(shù)據(jù)/列出目錄

WD - 寫入數(shù)據(jù)/添加文件

AD - 附加數(shù)據(jù)/添加子目錄

REA - 讀取擴(kuò)展屬性

WEA - 寫入擴(kuò)展屬性

X - 執(zhí)行/遍歷

DC - 刪除子項(xiàng)

RA - 讀取屬性

WA - 寫入屬性

繼承權(quán)限可以優(yōu)先于每種格式，但只應(yīng)用于

目錄：

(OI) - 對(duì)象繼承

(CI) - 容器繼承

(IO) - 僅繼承

(NP) - 不傳播繼承

示例：

icacls c:windows* /save AclFile /T

- 將 c:windows 及其子目錄下所有文件的

ACL 保存到 AclFile.

icacls c:windows /restore AclFile

- 將還原 c:windows 及其子目錄下存在的 AclFile 內(nèi)

所有文件的 ACL

icacls file /grant Administrator:(D,WDAC)

- 將授予用戶對(duì)文件刪除和寫入 DAC 的管

理員權(quán)限

icacls file /grant *S-1-1-0:(D,WDAC)

- 將授予由 sid S-1-1-0 定義的用戶對(duì)文件刪

除和寫入 DAC 的權(quán)限