windows - 使用 (SetACL) 自动执行 Windows HKCU 注册表权限的批处理文件

Question

我正在与我们的最终用户计算团队合作，以自动化我们的域迁移。我们使用的方法涉及更改本地用户文件夹和 regedit 中的 HKCU 的权限(包括“将所有子对象的权限条目替换为此处显示的适用于子对象的条目”)。

我能够使用一个简单的批处理脚本自动执行大部分步骤。对于本地文件夹权限，我使用了 icacls:

icacls C:\Users\%localprofile% /grant %domainuser%@contoso.com:(OI)(CI)F /T

对于注册表，我使用了 SetACL:

"C:\Win7ProfileTool\SetACL\64 bit\SetACL.exe" -on "hkcu" -ot reg -actn ace -ace "n:%domainuser%@contoso.com;p:full"
"C:\Win7ProfileTool\SetACL\64 bit\SetACL.exe" -on "hkcu" -ot reg -actn setprot -op dacl:np;sacl:np

如果我手动按照该方法操作，它可以正常工作。当我运行我的脚本时，我收到有关未加载配置文件的错误(以及创建/启动的临时文件)。

我相信我已经将它缩小到我的 2 条 SetACL 行，但我不知道究竟需要哪些参数来模拟“将所有子对象上的权限条目替换为此处显示的适用于子对象的条目。”

我的 googlefu 引导我找到了一个不能在 RegEdit 中使用的 icacls 解决方案，我一直在 SetACL 的帮助页面上四处寻找(特别是设置保护标志，但我不确定 "protection"值)

今天我计划研究一下 Reset Children 标志 - 但我不确定我是否走在正确的道路上。

tl;dr 如何模拟高级安全选项卡复选框 "Replace permission entries on..."通过 CMD 使用 SetACL。

Answer 1

我在批处理文件上运行 setacl 来设置注册表，它非常有效。也许你指挥的方式造成了麻烦。我使用的方式(有管理员权限)

setacl.exe -on "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.%vfilext%\UserChoice" -ot reg -actn clear -clr dacl -silent

更具体和防故障。我使用的版本是来自 this page 的 3.0.6