如何通过PowerShell从目录ACL中移除特定用户（而非仅删除权限）

问题背景 #

需要通过PowerShell从目录的ACL列表中彻底移除某个特定用户，不是仅删除其某一项权限，而是让该用户从ACL的条目里完全消失。之前尝试用Get-Acl和Set-Acl结合RemoveAccessRule仅能移除指定权限项，无法清除该用户的所有条目。

比如ACL列表中有test1、test2、test3三个用户，目标是彻底移除test1的所有相关ACL条目。

解决方案 #

核心思路是：获取目录的ACL后，筛选出所有属于目标用户的访问控制规则，逐个移除这些规则，最后将修改后的ACL应用回目录。

完整代码示例 #

# 定义目标路径和要移除的用户名
$targetPath = "testfolder"
$userToRemove = "test1"

# 获取当前目录的ACL
$acl = Get-Acl -Path $targetPath

# 筛选出所有属于目标用户的访问规则（包括允许和拒绝）
$rulesToRemove = $acl.Access | Where-Object { $_.IdentityReference.Value -eq $userToRemove }

# 逐个移除筛选出的规则
foreach ($rule in $rulesToRemove) {
    $acl.RemoveAccessRule($rule) | Out-Null
}

# 将修改后的ACL应用到目标目录
Set-Acl -Path $targetPath -AclObject $acl

关键说明 #

1. 筛选所有相关规则：$acl.Access包含了该目录的所有访问控制规则，通过Where-Object筛选出IdentityReference.Value匹配目标用户名的所有规则，确保不会遗漏该用户的任何权限条目（无论是允许还是拒绝）。
2. 逐个移除规则：因为RemoveAccessRule需要精确匹配规则才能移除，所以直接遍历筛选出的规则并逐个调用移除操作，确保该用户的所有条目都被清除。
3. 应用修改后的ACL：最后用Set-Acl将更新后的ACL写回目标目录，完成用户的彻底移除。

注意事项 #

• 运行PowerShell时需要管理员权限，否则可能没有修改ACL的权限。
• 如果目标目录的ACL包含继承的规则，需要先取消继承（若要移除继承的用户条目），可以添加以下代码：

  # 取消继承并保留现有规则（可选，根据需求调整）
  $acl.SetAccessRuleProtection($true, $true)
  

内容的提问来源于stack exchange，提问作者KillerHaseTV