Lectura, concesión y copia de seguridad de permisos NTFS con icacls y Get-Acl/Set-Acl

Objetivo

Inspeccionar y modificar los permisos NTFS de un árbol de carpetas desde una sesión remota, con una vía real de reversión si el cambio resulta incorrecto.

Requisitos previos

Derechos suficientes para leer o modificar la ACL de destino (propiedad del objeto o WRITE_DAC); espacio libre suficiente para almacenar el archivo de ACL guardado cuando se trata de árboles grandes.

Pasos

1. Haga una copia de seguridad del árbol de ACL actual antes de tocar nada: icacls C:\Apps\Payroll /save payroll-acl-backup.aclfile /T /C. La sintaxis de icacls incluye /save aclfile como modo de primer nivel, junto con /verify y /reset.
2. Lea los permisos actuales: icacls C:\Apps\Payroll (o, como objetos de PowerShell, Get-Acl -Path C:\Apps\Payroll | Format-List).
3. Conceda un permiso con herencia explícita: icacls C:\Apps\Payroll /grant "DOMAIN\PayrollApp:(OI)(CI)M" /T. La documentación describe (OI) como "Object inherit. Objects in this container inherits this ACE" y (CI) como "Container inherit. Containers in this parent container inherits this ACE". Ambos solo se aplican a directorios, así que una ACE que deba alcanzar todos los archivos y subcarpetas inferiores necesita los dos indicadores a la vez.
4. Para hacer lo mismo con objetos de PowerShell en lugar de la sintaxis de icacls: $acl = Get-Acl C:\Apps\Payroll; $rule = New-Object System.Security.AccessControl.FileSystemAccessRule("DOMAIN\PayrollApp","Modify","ContainerInherit,ObjectInherit","None","Allow"); $acl.AddAccessRule($rule); Set-Acl -Path C:\Apps\Payroll -AclObject $acl.
5. Compruebe que la concesión surtió efecto: icacls C:\Apps\Payroll debe mostrar la nueva ACE con los derechos y los indicadores de herencia esperados.

Resultado esperado

La cuenta de destino puede acceder al árbol con exactamente los derechos concedidos, y el archivo de copia de seguridad del paso 1 existe y no está vacío.

Límites y base de verificación

icacls /save registra las ACL del directorio y de su contenido en el momento en que se ejecuta; no es una sincronización en vivo. Una restauración solo devuelve el estado a ese instante, así que vuelva a ejecutar /save después de cualquier otro cambio intencionado. Para deshacer la concesión, restaure el estado guardado, pero sobre el directorio padre, porque un archivo creado con /save ... /T almacena los nombres relativos a él (Payroll, Payroll\sub, …): icacls C:\Apps /restore payroll-acl-backup.aclfile /C. La sintaxis de icacls documenta esto como icacls directory [/restore aclfile]. Si se apunta /restore a C:\Apps\Payroll directamente, falla con errores de archivo no encontrado para cada entrada. Ninguno de estos pasos requiere reiniciar; los cambios de permisos surten efecto en el siguiente acceso a un archivo, aunque los identificadores ya abiertos conservan el acceso concedido previamente hasta que se cierran.