Question

我有以下代码用于各种ACE更改并添加和撤销 - 当我尝试删除ACL中的ACE（显然在那里）时，它只是不起作用，但是这个ACE是继承的。

用于撤销非继承ACE的SetEntriesInAcl()有效，减少了ACL ACE计数，并且以下SetNamedSecurityInfo()执行撤销并且ACE已消失。

虽然ACE是继承的 - 这两个API都返回SUCCESS - 但ACE未被删除/撤销，ACL ACE计数保持不变。

我还编写了DeleteAce()编码，但当再次在SetNamedSecurityInfo()中使用该DACL时，RC为SUCCESS（无返回码），并且ACE仍为我正在处理的文件夹 - 显然有一个关于如何删除继承的ACE的技巧。

顺便说一句，对于相同的文件夹，SUBINACL命令行工具可以毫无问题地撤销此继承的ACE。

                 if( EqualSid( pSid_for_ace, pSid )  )
                    { /* ACE SID matched edit SID */

                    if( cmd_se_edit == SE_REM )
                       { /* remove */

                       rem_lst[ ace_idx ] = x;

                       exp_ace[ ace_idx ].grfAccessPermissions = dwAccessRights;
                       exp_ace[ ace_idx ].grfAccessMode        = REVOKE_ACCESS;
                       exp_ace[ ace_idx ].grfInheritance       = dwInheritance;
                       exp_ace[ ace_idx ].Trustee.TrusteeForm  = TRUSTEE_IS_SID;
                       exp_ace[ ace_idx ].Trustee.TrusteeType  = TRUSTEE_IS_WELL_KNOWN_GROUP;
                       exp_ace[ ace_idx ].Trustee.ptstrName    = pSid;

                       if( ace_idx < (REMMAX-1) ) ++ace_idx;

                       } /* remove */

                    } /* ACE SID matched edit SID */

              pBA = (BYTE *)p_aceHdr;

              ace_sz = p_aceHdr->AceSize;

              p_aceHdr = (PACE_HEADER)&pBA[ ace_sz ];

              } /* loop through ACEs */


           // Create a new ACL that merges the new ACE
           // into the existing DACL.

           if( ace_idx )
              { /* ACEs to remove */

              dwRes = SetEntriesInAcl( ace_idx, &exp_ace[0],
                                                        pDacl, &pNewDacl );
              if( ERROR_SUCCESS != dwRes )
                 {
                 printf( "SetEntriesInAcl Error %u\n", dwRes );
                 goto Cleanup2;
                 }

              // Attach the new ACL as the object's DACL.

              dwRes = SetNamedSecurityInfo(    ObjName,
                                               ObjectType,
                                               DACL_SECURITY_INFORMATION,
                                               NULL,
                                               NULL,
                                              pNewDacl,
                                               NULL );

              if( ERROR_SUCCESS != dwRes )
                 {
                 rc3 = GetLastError();
                 printf( "SetNamedSecurityInfo Error %u\n", dwRes );
                 goto Cleanup2;
                 }

              } /* ACEs to remove */

Answer 1

目前看起来好像是从文件夹中检索现有的ACL并进行修改。在您的情况下，最好从头开始构建新的ACL。为此，构建一个描述所需权限的EXPLICIT_ACCESS结构数组，并为OldAcl调用SetEntriesInAcl传递NULL。

要应用新的DACL，请按照与代码相同的方式调用SetNamedSecurityInfo，但为SecurityInfo传递DACL_SECURITY_INFORMATION | PROTECTED_DACL_SECURITY_INFORMATION。 PROTECTED_DACL_SECURITY_INFORMATION标志禁用父项的继承。

REVOKE_ACCESS：如何删除'撤销'继承的ACE？

1 个答案: