如何从大量文件夹中删除单个用户 ACL？

我有一个非常大的文件夹列表，我需要从每个文件夹中删除一个 ACL。我没有手动执行此操作，而是尝试编写一个脚本来在很短的时间内完成此操作，但我遇到了一些麻烦。

这是我到目前为止所拥有的：

$filepath = "C:\ALCTEST"
$user = "domain\username"

$folders = @((get-item $filePath))
$folders += Get-ChildItem $filePath -Recurse |
            where { $_.PSIsContainer -ne $false }

##Need to do this in order to remove item 0 from the array, otherwise
##item 0 is the parent folder
$newfolders = $folders[1,2 + 3..($folders.length - 1)]

foreach ($folder in $newfolders) {
    $acl = Get-Acl -Path $folder.FullName

    foreach ($access in $acl.access) {
        foreach ($value in $access.IdentityReference.Value) {
            if ($value -eq $user) {
                $acl.RemoveAccessRule($access) | Out-Null
            }
        }
    }

    Set-Acl -Path $folder -AclObject $acl
}

从我在调试过程中看到的情况来看，我think一切正常，直到我尝试将 ACL 设置回文件夹。当到达该行时，我收到错误

找不到路径“C:\Windows\system32\01”，因为它不存在。

ACLTEST 的父文件夹内有七个名为“01”...“07”的文件夹，其中包含用于测试的各种 ACL。

我不知道从这里该去哪里。我正在读书这篇脚本专家文章 http://blogs.technet.com/b/heyscriptingguy/archive/2009/09/17/hey-scripting-guy-september-17-2009.aspx这对我帮助很大，但他的脚本似乎专注于手动输入文件夹路径，对于需要更改的数百个文件夹，我绝对无法这样做。

任何帮助表示赞赏。我是 PowerShell 脚本编写的新手，因此，如果您发现除我在上面的脚本中提到的错误之外的任何错误，我很乐意听到它们。

The -Path的参数Set-Acl需要一个路径字符串，而不是DirectoryInfo目的。当通过后者时，仅其Name财产扩大了，所以Set-Acl正在当前工作目录中寻找具有给定名称的对象（在您的情况下显然是C:\Windows\system32).

Change

Set-Acl -Path $folder -AclObject $acl

into

Set-Acl -Path $folder.FullName -AclObject $acl

问题就会消失。

话虽如此，您可能还想进行一些其他修改。

$folders = @((get-item $filePath))
$folders += Get-ChildItem $filePath -Recurse |
            where { $_.PSIsContainer -ne $false }

##Need to do this in order to remove item 0 from the array, otherwise
##item 0 is the parent folder
$newfolders = $folders[1,2 + 3..($folders.length - 1)]

如果您不希望父文件夹位于数组中：首先不要将其放入数组中。由于您显然拥有 PowerShell v3，因此您可以使用-Directory参数而不是where filter.

$newfolders = Get-ChildItem $filePath -Recurse -Directory

foreach ($access in $acl.access) {
    foreach ($value in $access.IdentityReference.Value) {
        if ($value -eq $user) {
            $acl.RemoveAccessRule($access) | Out-Null
        }
    }
}

每个访问规则只有一个身份引用，因此内部循环是没有意义的。

foreach ($access in $acl.access) {
    if ($access.IdentityReference.Value -eq $user) {
        $acl.RemoveAccessRule($access) | Out-Null
    }
}

您的代码可以简化为如下所示：

$filepath = 'C:\ALCTEST'
$user     = 'domain\username'

$folders = Get-ChildItem $filePath -Recurse -Directory

foreach ($folder in $folders) {
    $acl = Get-Acl -Path $folder.FullName

    foreach ($access in $acl.Access) {
        if ($access.IdentityReference.Value -eq $user) {
            $acl.RemoveAccessRule($access) | Out-Null
        }
    }

    Set-Acl -Path $folder.FullName -AclObject $acl
}

或（使用管道）像这样：

$filepath = 'C:\ALCTEST'
$user     = 'domain\username'

Get-ChildItem $filePath -Recurse -Directory | ForEach-Object {
    $acl = Get-Acl -Path $_.FullName

    $acl.Access | Where-Object {
        $_.IdentityReference.Value -eq $user
    } | ForEach-Object {
        $acl.RemoveAccessRule($_) | Out-Null
    }

    Set-Acl -Path $_.FullName -AclObject $acl
}