Bei NTFS-Berechtigungen gibt einfache und erweiterte Berechtigungen. Man kann jede Berechtigung auf „Allow“ oder „Deny“ setzen.

Der folgende Powershell-Befehl listet alle Berechtigungen auf:

[system.enum]::getnames([System.Security.AccessControl.FileSystemRights])

NTFS-Berechtigungen können entweder an dem Objekt selbst gesetzt (explicit) oder vom übergeordneten Objekt geerbt (inherited) worden sein.
Die Hirarchie der gesetzten Berechtigungen ist dabei wie folgt:

• Explizit am Objekt verboten
• Explizit am Objekt erlaubt
• geerbtes verboten
• geerbtes erlaubt

Ein explizites „verboten“ würde also ein geerbtes „erlaubt“ überschreiben.

Das erste Powershell-Commandlet zur verwaltung von Berechtigungen ist Get-Acl; es listet alle Objekt-Berechtigungen.

get-acl \\path\to\source |fl 

Um alle Berechtigungen innerhalb einer Verzeichnisstruktur in eine CSV-Datei zu exportieren, kann folgendes Skript verwendet werden:

Export-PermissionsToCsv.ps1

# Zu untersuchender Pfad
$path = "\\path\to\source"     
 
# Pfad zur CSV-Datei
$reportpath ="C:\data\ACL.csv" 
 
#Nach Verzeichnissen unterhalb des angegebenen suchen und für alle Fundstellen acl(permissions) auslesen
Get-ChildItem -Recurse $path | Where-Object { $_.PsIsContainer } `
  | ForEach-Object { $path1 = $_.fullname; Get-Acl $_.Fullname `
  | ForEach-Object { $_.access | Add-Member -MemberType NoteProperty '.\Application Data' -Value $path1 -passthru }} `
  | Export-Csv $reportpath

Besitz an Quelle und Ziel ist Voraussetzung.

get-acl \\path\to\source  | Set-Acl \\path\to\target 

Das Powershell-Commandlet Set-Acl ändert den Security-Descriptor eines Objekts (Datei, Verzeichnis, Reg-Key, …). Anders ausgedrückt „es ändert die Berechtigungen“. Im folgenden Beispiel wird dem Benutzer „Username“ Vollzugriff auf das Verzeichnis „\\path\to\target“ gewährt:
Die Berechtigung wird nicht hinzugefügt, sondern bestehende Berechtigungen werden ersetzt

$acl = Get-Acl \\path\to\target 
$AccessRule = New-Object System.Security.AccessControl.FileSystemAccessRule("DOMAIN\Username","FullControl","Allow")
$acl.SetAccessRule($AccessRule)
$acl | Set-Acl \\path\to\target

Andere Berechtigungen können der Tabelle entnommen werden:

Darüber können die essentiellen Berechtigungen auch über Berechtigungs-Sätze vergeben werden:

Nur die Berechtigung „Allow FullControl“ für den Benutzer „DOMAIN\Username“ aus den vorhandenen Berechtigungen entfernen.

$acl = Get-Acl \\path\to\target 
$AccessRule = New-Object System.Security.AccessControl.FileSystemAccessRule("DOMAIN\Username","FullControl","Allow")
$acl.RemoveAccessRule($AccessRule)
$acl | Set-Acl \\path\to\target

Wenn der Benutzer noch die Berechtigung „Deny FullControl“ zugewiesen hat, kann diese mit „PurgeAccessRules“ entfernt werden:

„PurgeAccessRules“ funktioniert nicht mit Strings, sondern nur mit SIDs. Die Klasse „Ntaccount“ kann verwendet werden, um den String des Accountnamen zur SID zu konbvertieren.
Der Befehl funktioniert nur bei direkt am Objekt gesetzten und nicht bei geerbten Berechtigungen.

$acl = Get-Acl \\path\to\target 
$usersid = New-Object System.Security.Principal.Ntaccount ("DOMAIN\Username")
$acl.PurgeAccessRules($usersid)
$acl | Set-Acl \\path\to\target

Für die Verwaltung der Vererbung wird die Methode „SetAccessRuleProtection“ verwendet. Sie verfügt über zwei mögliche Stati: „$true“ und „$false“.

• Der erste Parameter aktiviert ($false) oder deaktiviert ($true) die Vererbung von übergeordneten Berechtigungen.
• Der zweite Parameter entscheidet darüber, ob bestehende geerbte Berechtigungen erhalten bleiben sollen ($true) oder nicht ($false).

Beispiel: Die Vererbung zum Verzeichnis „\\path\to\target“ soll unterbrochen und die bislang geerbten Berechtigungen entfernt werden:
Explizit gesetzten Berechtigungen bleiben erhalten.

$acl = Get-Acl \\path\to\target
$acl.SetAccessRuleProtection($true,$false)
$acl | Set-Acl \\path\to\target

Den Schritt rückgängig zu machen und die Vererbung wieder aktivieren:

$acl = Get-Acl \\path\to\target
$acl.SetAccessRuleProtection($false,$true)
$acl | Set-Acl \\path\to\target

Der Besitzer eines Objekts wird mit der Methode „SetOwner“ geändert.
Beispiel: Den Benutzer „Username“ zum Besitzer des Ordners „\\path\to\target“ machen:
Der Benutzer „Username“ muss über die Berechtigungen „Take Ownership“, „Read“ und „Change Permission“ verfügen.

$acl = Get-Acl \\path\to\target 
$usersid = New-Object System.Security.Principal.Ntaccount ("DOMAIN\Username")
$acl.SetOwner($usersid)
$acl | Set-Acl \\path\to\target