Windows 10 Home下撤销AuthenticatedUsers的拒绝权限/所有者规则的方法

• 你当前登录的所有本地管理员、网络管理员账号，本身都属于AuthenticatedUsers组的覆盖范围
• Windows权限模型中，显式拒绝规则的优先级始终高于所有显式允许规则：哪怕账号有完全控制权限，只要匹配到拒绝条目，相关操作就会被直接拦截，根本走不到权限修改的流程
• 你之前手动关闭权限继承、将拒绝规则沿文件夹树向下传播的操作，意味着所有子文件夹、文件上的拒绝条目都是独立配置的，不会因为修改上层权限自动同步消失
• 你在运行的系统内尝试获取所有权、修改权限的操作，本质上是在触发“拒绝更改所有者”的规则拦截，因此必然出现操作失败、返回0条修改结果的情况，从路径逻辑上就无法绕开拦截

通过救援U盘/光盘启动进入临时WinPE环境是完全可行的，也是目前最稳妥的修复路径——该环境下你操作文件时使用的是临时系统的SYSTEM级权限，不受原系统盘上存储的ACL权限规则约束，不会被之前配置的拒绝规则拦截。

具体操作步骤 #

1. 使用Windows官方安装U盘/WinPE救援盘启动设备，在安装界面按下Shift+F10调出命令提示符窗口
2. 逐一通过dir命令确认原系统盘的实际盘符（PE环境下盘符分配和正常进系统时不一致，能检测到Windows目录的分区就是原系统盘，后续命令中请将示例路径替换为实际盘符）
3. 递归获取目标文件夹全树的所有权，执行命令：
   takeown /f D:\目标文件夹根路径 /r /d Y
   参数说明：/r递归作用于所有子文件、子文件夹；/d Y对所有权限提示默认选择确认，无需手动逐次输入
4. 给当前临时环境的管理员组授予整个文件夹树的完全控制权限，执行命令：
   icacls D:\目标文件夹根路径 /grant administrators:F /t /c
   参数说明：/t递归作用所有子项；/c遇到单个文件权限错误时不中断整体流程，继续执行剩余操作
5. 批量删除所有作用于AuthenticatedUsers组的拒绝规则，执行核心修复命令：
   icacls D:\目标文件夹根路径 /remove:d "Authenticated Users" /t /c
   参数说明：/remove:d仅删除该组名下的拒绝类型规则，不会改动同组的其他允许类权限；注意组名Authenticated Users中间的空格必须保留，外层引号不能省略
6. 全路径扫描校验剩余规则，确认没有残留的拒绝条目后，退出命令提示符、移除启动介质，正常重启回原系统即可

备选修复路径（有适用场景限制） #

如果没有可用的安装介质，且你配置的拒绝规则仅作用在非系统卷的普通文件夹上，可以尝试用SYSTEM权限级别的计划任务绕开拦截：

• 打开任务计划程序，新建一个手动触发的任务，勾选“使用最高权限运行”，将运行账号设置为SYSTEM（该账号不属于AuthenticatedUsers组的覆盖范围，不会被拒绝规则拦截）
• 给任务添加操作：调用icacls执行和上述步骤完全一致的删除规则命令，手动运行任务即可完成修复

注意：如果你的拒绝规则传播到了系统卷根目录、用户目录等系统路径，这个方法会失效——因为计划任务的调度、执行过程本身就在被拦截的权限范围内，必须回到救援盘路径修复

• 修复完成后，递归扫描整个目标路径的ACL规则，确认没有残留的AuthenticatedUsers组拒绝条目再进行后续业务操作
• 你最初的需求是阻止远程访问删除文件，不需要使用高风险的显式拒绝规则实现：仅给AuthenticatedUsers组分配“读取及运行、列出文件夹目录、读取”的允许权限，不授予修改、删除权限，即可达到同等防护效果。非必要不要给覆盖范围极广的高权限组配置显式拒绝规则，这类规则一旦配置错误，很容易出现管理员账号被自锁死的情况

内容的提问来源于stack exchange，提问作者CharlieS