icacls：删除C：\ ProgramData下的特殊写权限

Question

我正在尝试使C：\ ProgramData下的文件夹对用户只读，但是我似乎无法摆脱“特殊权限”。 / grant：r是否应该替换sid的所有权限？我无法摆脱“ BUILTIN \ Users：（CI）（WD，AD，WEA，WA）”的问题。它表示对“此文件夹和子文件夹”的“写入”权限。

mkdir  c:\programdata\foo
icacls c:\programdata\foo /inheritance:d
icacls c:\programdata\foo /grant:r Users:(OI)(CI)(RX)
icacls c:\programdata\foo

c:\programdata\foo NT AUTHORITY\SYSTEM:(OI)(CI)(F)
                   BUILTIN\Administrators:(OI)(CI)(F)
                   CREATOR OWNER:(OI)(CI)(IO)(F)
                   BUILTIN\Users:(OI)(CI)(RX)
                   BUILTIN\Users:(CI)(WD,AD,WEA,WA)