Windows添加条件为

Question

对于Windows文件夹，可以输入高级安全设置。在Windows 2016中，有一个框架“添加限制访问的条件。只有满足条件时，才会授予委托人指定的权限。”

可以添加项目（=安全组），基本上选择一个或多个AD安全组（当动态访问控制（DAC）时）没有进一步安装。

问题是，我们如何在C＃（或powershell）中用两个AD安全组添加（和删除）这样的条件。

提前致谢。

Answer 1

一个很老的问题，但是以防万一有人仍然用谷歌寻找答案。屏幕截图中的访问规则似乎是对常规ACL的扩展。

我发现修改它的唯一方法是通过SDDL。

1. 获取ACL对象：$acl = Get-Acl -Path $FolderPath
2. 获取当前的SDDL字符串：$acl.Sddl
3. 使用这样的条件规则扩展现有条目（请注意X，0x1301bf和;(Member_of_any {SID(S-1-5-21-XXX-XXX-XXX-1619)})部分）。

(A;OICI;FA;;;S-1-5-21-XXX-XXX-XXX-1113)

(XA;OICI;0x1301bf;;;S-1-5-21-XXX-XXX-XXX-1113;(Member_of_any {SID(S-1-5-21-XXX-XXX-XXX-1619)}))

通过检查来自GUI制造的对象的不同SDDL，可以了解更多示例。

1. 修改$ acl对象：$acl.SetSecurityDescriptorSddlForm($NewSddl)
2. 重新将其应用于文件夹：Set-Acl -Path $FolderPath -AclObject $acl