Windows 11 Pro多账户多文件/文件夹审计规则添加失败问题

核心问题分析 #

你遇到的规则被覆盖问题，本质是每次修改ACL时没有基于目标文件夹的现有审计规则集合操作，而是每次单独添加单个账户规则后直接覆盖原ACL，导致后续账户的规则会替换掉之前的。

具体解决思路 #

1. 调整循环逻辑，按文件夹优先处理

把循环顺序改成「先遍历文件夹/文件，再遍历审计账户」，这样每个文件夹可以一次性把所有需要的审计账户规则都添加到同一个ACL对象中，最后仅执行一次Set-Acl，避免多次覆盖。

2. 基于现有ACL进行规则添加

不要新建空的ACL对象，必须先获取目标文件夹已有的审计规则集合，在这个基础上添加新规则，再应用回去。关键是用Get-Acl -Path $item -Audit来获取包含审计规则的完整ACL。

3. 正确构造并添加AuditRule

创建FileSystemAuditRule时要确保参数完整（尤其是继承、传播、审计类型），避免规则无效或被自动合并覆盖。

示例修正代码 #

# 读取目标路径和审计账户列表
$targetPaths = Get-Content -Path "AuditedFolders.txt"
$auditUsers = Get-Content -Path "AuditUsers.txt"

foreach ($path in $targetPaths) {
    # 获取目标路径的现有审计ACL（必须加-Audit参数）
    $currentAcl = Get-Acl -Path $path -Audit

    foreach ($user in $auditUsers) {
        # 构造审计规则，按需修改权限、继承、审计类型
        $newAuditRule = New-Object System.Security.AccessControl.FileSystemAuditRule(
            $user,
            [System.Security.AccessControl.FileSystemRights]::Modify, # 可替换为需要审计的权限
            [System.Security.AccessControl.InheritanceFlags]::ContainerInherit -bor [System.Security.AccessControl.InheritanceFlags]::ObjectInherit,
            [System.Security.AccessControl.PropagationFlags]::None,
            [System.Security.AccessControl.AuditFlags]::Success -bor [System.Security.AccessControl.AuditFlags]::Failure
        )
        # 将新规则添加到现有ACL中
        $currentAcl.AddAuditRule($newAuditRule)
    }

    # 一次性应用更新后的完整ACL
    Set-Acl -Path $path -AclObject $currentAcl
}

额外注意事项 #

• 必须以管理员权限运行PowerShell，否则无法修改审计规则。
• 如果需要避免重复添加相同规则，可以在添加前先检查现有规则：通过$currentAcl.GetAuditRules($true, $true, [System.Security.Principal.NTAccount])获取所有审计规则，判断是否已存在当前用户的对应规则。
• 注意InheritanceFlags和PropagationFlags的设置，这会影响规则是否应用到子文件夹/文件，根据实际需求调整。

内容的提问来源于stack exchange，提问作者ertbqe34