PowerShell多维数组迭代实现文件夹创建与ACL权限设置问题求助

现有代码存在的核心问题 #

• 权限应用路径错误：循环内调用Set-permissions时传递的是父级路径$newEmployeePath，而非刚创建的对应子文件夹路径，导致所有权限都设置在了上级目录，子文件夹没有单独配置权限。
• 新建ACL对象未保留继承权限：直接创建空白DirectorySecurity对象会覆盖目录原有所有权限，包括系统默认的管理员、SYSTEM账户权限，会导致目录后续访问异常。
• 访问规则缺少继承配置：FileSystemAccessRule未指定继承和传播标识，配置的权限只会作用于当前文件夹本身，子文件/子文件夹无法继承权限。
• 路径拼接不规范：使用字符串拼接路径容易因为分隔符重复/缺失出错，推荐用Join-Path cmdlet处理路径拼接。
• 语法冗余：末尾多了一个多余的闭合大括号，数组内占位符带多余空格，实际使用时可能导致身份匹配失败、文件夹名带多余空格。
• 函数缺少WhatIf支持：自定义函数没有声明[CmdletBinding(SupportsShouldProcess)]，你在外层加WhatIf不会作用到自定义函数内部的操作。

修正后的完整代码 #

# 自定义权限设置函数，新增WhatIf支持、保留继承权限、补全规则参数
function Set-Permissions {
    [CmdletBinding(SupportsShouldProcess)]
    Param(
        $AssignToRead,
        $AssignToRW,
        $Path
    )
    # 读取现有目录ACL，而非新建空白ACL，保留原有继承权限
    $acl = Get-Acl -Path $Path
    # 补全继承和传播参数：权限适用于当前文件夹、子文件夹、文件，不限制继承
    $readRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
        $AssignToRead,
        "ReadAndExecute",
        "ContainerInherit, ObjectInherit",
        "None",
        "Allow"
    )
    $acl.SetAccessRule($readRule)
    
    $rwRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
        $AssignToRW,
        "Modify",
        "ContainerInherit, ObjectInherit",
        "None",
        "Allow"
    )
    $acl.AddAccessRule($rwRule)
    
    if ($PSCmdlet.ShouldProcess($Path, "应用ACL权限")) {
        Set-Acl -Path $Path -AclObject $acl
    }
}

# 定义变量（这里补充你自己的实际取值即可）
$top_level = "C:\你的上级目录路径"
$result = "员工根目录名称"

# 创建上级员工目录
$newEmployeePath = Join-Path -Path $top_level -ChildPath $result
New-Item -Path $newEmployeePath -ItemType Directory -WhatIf

# 文件夹模板数组
$employee_template = @(
    ("文件夹1", "只读用户组1", "读写用户组1"),
    ("文件夹2", "只读用户组2", "读写用户组2"),
    ("文件夹3", "只读用户组3", "读写用户组3")
)

foreach ($folderConfig in $employee_template) {
    $folderName = $folderConfig[0].Trim()
    $readPrincipal = $folderConfig[1].Trim()
    $rwPrincipal = $folderConfig[2].Trim()
    # 创建子文件夹
    $subFolderPath = Join-Path -Path $newEmployeePath -ChildPath $folderName
    New-Item -Path $subFolderPath -ItemType Directory -WhatIf
    # 给对应子文件夹设置权限
    Set-Permissions -AssignToRead $readPrincipal -AssignToRW $rwPrincipal -Path $subFolderPath -WhatIf
}

验证说明 #

去掉所有命令后的-WhatIf参数即可实际执行操作，执行前可以先运行带-WhatIf的版本查看操作是否符合预期，不会实际修改系统配置。

内容的提问来源于stack exchange，提问作者Light_Shift