PowerShell中如何验证文件夹及其子项ACL设置（含继承场景）是否符合预期？

一、创建并应用自定义ACL #

首先定义.NET DirectorySecurity对象并添加访问规则：

$acl = New-Object System.Security.AccessControl.DirectorySecurity
$acl.AddAccessRule($rule_a)
$acl.AddAccessRule($rule_b)
# 可按需添加更多访问规则

通过SetAccessRuleProtection方法控制ACL是否继承到子项：

# 参数说明：
# 第一个$true=禁用继承，$false=启用继承
# 第二个$true=保留已继承的规则，$false=移除已继承的规则
$acl.SetAccessRuleProtection($true, $true) 

将配置好的ACL应用到目标文件夹：

Set-Acl $folder $acl

二、获取预期与实际ACL设置 #

预期的ACL设置即为我们定义好的对象：

$expectedAclSettings = $acl

递归获取文件夹及其所有子项的实际ACL：

$folderAndChildren = @(Get-Item -Path $folder) + @(Get-ChildItem -Path $folder -Recurse)
$actualAclSettings = ($folderAndChildren | Get-Acl)

三、ACL验证的可行思路 #

1. 简便的快速对比（单行命令） #

如果只做初步验证，可直接用Compare-Object对比ACL的访问规则集合，提取关键属性排查差异：

Compare-Object -ReferenceObject $expectedAclSettings.Access -DifferenceObject $actualAclSettings.Access -Property IdentityReference, FileSystemRights, AccessControlType, IsInherited

注意：这种方式不会区分继承规则和显式规则的逻辑关系，若目标ACL启用了继承，子项的实际ACL会包含父项继承来的规则，直接对比会出现误报。

2. 严谨的验证逻辑（自定义处理） #

要确保验证准确，必须结合继承保护规则针对性处理：

• 禁用继承时：父文件夹和所有子项的显式规则需与预期完全一致；若调用SetAccessRuleProtection时第二个参数为$true，子项会保留原有继承规则，需单独判断是否符合预期。
• 启用继承时：只需验证父文件夹的ACL是否匹配预期，再抽查子项是否正常继承父规则即可。

以下是实现该逻辑的简易函数：

function Test-AclCompliance {
    param(
        [Parameter(Mandatory)]
        [System.Security.AccessControl.DirectorySecurity]$ExpectedAcl,
        [Parameter(Mandatory)]
        [array]$ActualAclList,
        [Parameter(Mandatory)]
        [string]$Folder
    )
    $isProtectionEnabled = $ExpectedAcl.AreAccessRulesProtected
    foreach ($actualAcl in $ActualAclList) {
        $targetPath = $actualAcl.Path
        if ($isProtectionEnabled) {
            # 对比显式规则
            $expectedExplicit = $ExpectedAcl.Access | Where-Object { !$_.IsInherited }
            $actualExplicit = $actualAcl.Access | Where-Object { !$_.IsInherited }
            $diff = Compare-Object $expectedExplicit $actualExplicit -Property IdentityReference, FileSystemRights, AccessControlType
            if ($diff) {
                Write-Warning "$targetPath 显式ACL规则不匹配：`n$diff"
            } else {
                Write-Host "$targetPath 显式ACL规则符合预期" -ForegroundColor Green
            }
        } else {
            # 父文件夹验证完整规则，子项验证继承关系
            if ($actualAcl.Path -eq $Folder) {
                $diff = Compare-Object $ExpectedAcl.Access $actualAcl.Access -Property IdentityReference, FileSystemRights, AccessControlType, IsInherited
                if ($diff) {
                    Write-Warning "$targetPath ACL规则不匹配：`n$diff"
                } else {
                    Write-Host "$targetPath ACL规则符合预期" -ForegroundColor Green
                }
            } else {
                $inheritedRules = $actualAcl.Access | Where-Object { $_.IsInherited }
                if (-not $inheritedRules) {
                    Write-Warning "$targetPath 未正确继承父文件夹ACL规则"
                } else {
                    Write-Host "$targetPath 已正确继承父文件夹ACL规则" -ForegroundColor Green
                }
            }
        }
    }
}

# 调用示例
Test-AclCompliance -ExpectedAcl $expectedAclSettings -ActualAclList $actualAclSettings -Folder $folder

3. 其他验证思路 #

• 利用AccessToString属性将ACL转为字符串后对比，直观但可能因格式细节产生误判：

Compare-Object $expectedAclSettings.AccessToString $actualAclSettings.AccessToString

• 区分文件和文件夹的ACL差异，分别验证（两者的权限类型存在细微区别）

内容的提问来源于stack exchange，提问作者hyt