如何编写PowerShell脚本导出订阅中所有Gen2存储账户容器及子文件夹ACL权限

你的脚本目前仅获取了容器（根文件夹）的ACL权限，要实现递归遍历所有子文件夹并导出ACL，需要添加递归遍历逻辑来处理嵌套目录。以下是修改后的完整脚本：

Connect-AzAccount

# 定义递归函数：获取指定文件系统下所有文件夹（含子文件夹）的ACL
function Get-AllGen2FolderACLs {
    param(
        [Parameter(Mandatory=$true)]$Context,
        [Parameter(Mandatory=$true)]$FileSystemName,
        [string]$FolderPath = "",
        [Parameter(Mandatory=$true)]$StorageAccountName,
        [Parameter(Mandatory=$true)]$ResourceGroupName
    )

    # 获取当前文件夹的ACL信息
    $folderItem = Get-AzDataLakeGen2Item -Context $Context -FileSystem $FileSystemName -Path $FolderPath -ErrorAction SilentlyContinue
    if ($folderItem -and $folderItem.IsDirectory) {
        [PSCustomObject]@{
            StorageAccountName = $StorageAccountName
            ResourceGroupName = $ResourceGroupName
            ContainerName = $FileSystemName
            FolderPath = if ($FolderPath -eq "") { "/" } else { "/$FolderPath" } # 根文件夹显示为/，子文件夹显示完整路径
            ACLPermissions = $folderItem.ACL.Permissions -join ","
            ACLAccessControlTypes = $folderItem.ACL.AccessControlType -join ","
        }

        # 获取当前文件夹下的所有子文件夹，递归处理
        $childFolders = Get-AzDataLakeGen2ChildItem -Context $Context -FileSystem $FileSystemName -Path $FolderPath -Recurse:$false | Where-Object { $_.IsDirectory }
        foreach ($child in $childFolders) {
            $childFullPath = if ($FolderPath -eq "") { $child.Name } else { "$FolderPath/$child.Name" }
            Get-AllGen2FolderACLs -Context $Context -FileSystemName $FileSystemName -FolderPath $childFullPath -StorageAccountName $StorageAccountName -ResourceGroupName $ResourceGroupName
        }
    }
}

# 主逻辑：遍历所有存储账户、容器，收集所有文件夹ACL
$results = @()
$storageAccounts = Get-AzStorageAccount 

foreach ($storageAccount in $storageAccounts) {
    $containers = Get-AzStorageContainer -Context $storageAccount.Context
    foreach ($container in $containers) {
        $folderACLs = Get-AllGen2FolderACLs -Context $storageAccount.Context -FileSystemName $container.Name -StorageAccountName $storageAccount.StorageAccountName -ResourceGroupName $storageAccount.ResourceGroupName
        $results += $folderACLs
    }
}

# 导出结果到CSV
$results | Export-Csv -Path "output.csv" -NoTypeInformation -Encoding UTF8

关键改动说明： #

• 递归函数Get-AllGen2FolderACLs：负责遍历指定文件夹及其所有子文件夹，每找到一个文件夹就输出其ACL信息，再递归处理下一级子目录。
• 新增FolderPath字段：明确区分根文件夹（显示为/）和子文件夹（显示完整层级路径），方便后续定位权限所属目录。
• 错误兼容：添加-ErrorAction SilentlyContinue避免因个别目录权限不足导致脚本中断，可根据实际需求调整为抛出错误。
• 编码优化：导出CSV时指定-Encoding UTF8，避免中文环境下出现乱码问题。

使用注意事项： #

1. 确保当前账号拥有目标存储账户的Storage Blob Data Contributor或更高权限，否则无法读取ACL信息。
2. 若订阅数量多、文件夹层级深，脚本执行时间会较长，建议在非业务高峰时段运行。
3. 可根据需求扩展输出字段，比如添加ACL对应的Identity、Default权限标识等，只需在[PSCustomObject]中补充属性即可。

内容的提问来源于stack exchange，提问作者user