PowerShell配置NTFS共享权限需多次执行？问题排查求助

• NTFS权限缓存与UI同步延迟：Windows文件系统会缓存ACL信息，Get-ACL读取的是内存中的缓存数据，而资源管理器UI需要从磁盘同步最新权限，在网络共享场景下这种延迟会更明显。
• Set-ACL应用不彻底：如果Set-FolderPermissions函数未正确使用-Force参数，或未处理ACL继承逻辑，可能导致权限规则未真正写入磁盘。
• 网络共享SMB协议延迟：操作远程共享文件夹时，SMB协议的权限同步存在延迟，Get-ACL直接从服务器内存获取数据，但实际磁盘权限尚未完成更新。
• 权限规则参数错误：继承（InheritanceFlags）或传播（PropagationFlags）标志设置不当，会导致权限规则无法正确应用到目标文件夹。

优化Set-FolderPermissions函数 #

确保函数正确处理ACL继承并强制将规则写入磁盘，示例实现：

function Set-FolderPermissions {
    param(
        [string]$Path,
        [System.Security.Principal.NTAccount]$Account,
        [string]$Rights,
        [System.Security.AccessControl.InheritanceFlags]$Inheritance,
        [System.Security.AccessControl.PropagationFlags]$Propagation,
        [System.Security.AccessControl.AccessControlType]$Type
    )

    $acl = Get-Acl -Path $Path
    # 禁用继承（若需保留父文件夹现有规则，第二个参数设为$true）
    $acl.SetAccessRuleProtection($true, $false)
    $accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
        $Account, $Rights, $Inheritance, $Propagation, $Type
    )
    $acl.AddAccessRule($accessRule)
    # 用-Force参数强制将ACL写入磁盘
    Set-Acl -Path $Path -AclObject $acl -Force
}

替换权限验证方式 #

放弃仅依赖Get-ACL的缓存数据，改用icacls直接查询磁盘上的实际权限：

function Check-FolderPermissions {
    param(
        [string]$SamAccountName,
        [System.Security.Principal.NTAccount]$Account,
        [string]$ProUACLPath,
        [string]$UserFACLPath,
        [string]$ScansFACLPath
    )

    $retryCount = 0
    $maxRetries = 5
    $success = $false

    while ($retryCount -lt $maxRetries -and !$success) {
        # 用icacls检查目标账户的权限是否存在
        $proUCheck = icacls $ProUACLPath | Select-String -Pattern $SamAccountName
        $userFCheck = icacls $UserFACLPath | Select-String -Pattern $SamAccountName
        $scansFCheck = icacls $ScansFACLPath | Select-String -Pattern $SamAccountName

        if ($proUCheck -and $userFCheck -and $scansFCheck) {
            $success = $true
        } else {
            # 调用权限设置函数
            Set-FolderPermissions $ProUACLPath $Account "FullControl" "ContainerInherit,ObjectInherit" "None" "Allow"
            Set-FolderPermissions $UserFACLPath $Account "FullControl" "ContainerInherit,ObjectInherit" "None" "Allow"
            Set-FolderPermissions $ScansFACLPath $Account "FullControl" "ContainerInherit,ObjectInherit" "None" "Allow"
            
            # 修改文件夹写入时间触发文件系统元数据刷新
            Update-ItemProperty -Path $ProUACLPath -Name LastWriteTime -Value (Get-Date)
            Update-ItemProperty -Path $UserFACLPath -Name LastWriteTime -Value (Get-Date)
            Update-ItemProperty -Path $ScansFACLPath -Name LastWriteTime -Value (Get-Date)
            
            Start-Sleep -Seconds 3
            $retryCount++
        }
    }
    return $success
}

处理网络共享场景 #

如果目标是远程共享，优先操作服务器本地路径（如D:\Shares\UserFolder）而非SMB路径（如\\Server\Shares\UserFolder），避免SMB同步延迟。若必须使用SMB路径，可在设置权限后执行以下命令强制刷新SMB客户端缓存：

# 假设映射的驱动器为Z:
cmd /c "net use Z: /delete"
cmd /c "net use Z: \\Server\Shares"

验证权限规则参数 #

确保FileSystemAccessRule的继承和传播参数符合业务需求：

• 个人文件夹通常设置InheritanceFlags = ContainerInherit, ObjectInherit（权限应用到文件夹及所有子项）
• PropagationFlags = None（继承的权限不被限制传播）

内容的提问来源于stack exchange，提问作者justvee