PowerShell脚本无法移除UNC路径下Domain\User的NTFS权限求助

脚本核心缺陷 #

你当前的脚本逻辑完全错误：你的需求是移除指定用户的NTFS权限，但代码实际在给该用户添加多条Deny类型的权限规则，这和目标完全相悖。此外重复多次获取/设置ACL的操作既冗余又容易引发不一致问题。

正确的权限移除脚本示例 #

以下脚本可直接移除UNC路径下指定用户的所有NTFS权限规则：

# 定义目标路径和用户
$targetPath = "\\Server\Share$\Path"
$targetUser = "Domain\Username"

# 获取目标路径的ACL
$acl = Get-Acl -Path $targetPath

# 获取该用户的所有访问规则并批量移除
$userRules = $acl.Access | Where-Object { $_.IdentityReference -eq $targetUser }
foreach ($rule in $userRules) {
    $acl.RemoveAccessRule($rule) | Out-Null
}

# 若需要彻底移除包括继承的规则（需先禁用继承），可取消下方注释
# $acl.SetAccessRuleProtection($true, $false)

# 应用修改后的ACL
Set-Acl -Path $targetPath -AclObject $acl

# 验证结果
Write-Host "已完成权限移除，当前权限列表："
(Get-Acl -Path $targetPath).Access | Where-Object { $_.IdentityReference -eq $targetUser }

排查建议（若脚本执行后权限仍未变更） #

• 权限继承问题：如果目标路径的权限是从父目录继承的，直接移除规则会失效。需先执行$acl.SetAccessRuleProtection($true, $false)禁用继承（第二个参数$false会删除已继承的规则，$true会保留并转为显式规则）。
• 当前用户权限不足：执行脚本的账号必须拥有目标路径的修改权限或完全控制权限，且具备修改NTFS权限的权限（通常是管理员或文件所有者）。
• 用户身份格式错误：确认Domain\Username格式正确，可使用Get-ADUser验证用户是否存在，或用SID格式（如S-1-5-21-xxx-xxx-xxx-xxxx）避免域名解析问题。
• 规则匹配问题：有些权限规则可能是通过组分配的，而非直接给用户。需检查$acl.Access中的IdentityReference是否包含用户所属的组。
• UNC路径访问问题：确保能正常访问\\Server\Share$\Path，可先手动打开该路径验证连通性和基础权限。

内容的提问来源于stack exchange，提问作者VeeDub