本地权限和本地用户/组的远程管理

Question

我正在尝试使用远程计算机的本地用户和组修改远程计算机的文件权限。

$IDR = New-Object System.Security.Principal.NTAccount( 'RemoteServer\testaccount' )

$AccessRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
    $IDR,
    'FullControl',
    'ContainerInherit, ObjectInherit',
    'None',
    'Allow'
)

$Item = (Get-Item \\RemoteServer\share\folder\folder\file)
$ACL = $Item.GetAccessControl()
$ACL.AddAccessRule($AccessRule)
$Item.SetAccessControl($ACL)

输出：使用“1”个参数调用“AddAccessRule”的异常：“无法翻译部分或全部身份引用。”

我了解这意味着它找不到我正在搜索的“计算机\测试帐户”。我可以使用 Builtin*（例如：Builtin\Administrators）用户和组修改远程文件权限，但不能使用已创建的帐户。

远程服务器上确实存在testaccount。

\\RemoteServer\testaccount 不起作用

内置\testaccount 不起作用

本地\testaccount 不起作用

testaccount 不起作用

我可以通过大致相同的方式远程从本地文件权限中删除本地帐户。

是否可以从我的本地工作站将 RemoteServer 的非内置本地用户和组添加到 RemoteServer 的本地文件权限中？

或

如何解决上述错误？

解决方法编辑：

我不想这样做，但我能够使用 Win32_Process 启动 PowerShell 会话，其中包含应用权限的所有数据。有用。但是，这并不理想，因为它不适用于不能接受 WMI 的系统。我仍然想知道是否可以在没有这种笨拙的解决方法的情况下解决我原来的问题。

Answer 1

您的代码似乎有一些问题。

首先，你有一个错字

\\Computer\C$\user\username\desktop\testfile

但那应该是

\\Computer\C$\users\username\desktop\testfile

('users' = 复数).

接下来，您将使用 Computer\testaccount 获取 Security.Principal.NTAccount，但稍后您将使用 username 获取文件项。

这应该可以工作：

# create the Full Control access rule for the user
$AccessRule = (New-Object System.Security.AccessControl.FileSystemAccessRule(
                [System.Security.Principal.NTAccount]"$computerName\$userSamAccountName",
                "FullControl", "ContainerInherit, ObjectInherit", "None", "Allow"))

# get the item you want to set the FullControl accessrule on.
# you need permissions for this of course..
$Item = (Get-Item "\\$computerName\C$\user\$userSamAccountName\desktop\testfile")
$ACL = (Get-Acl -Path $Item.FullName)
$ACL.AddAccessRule($AccessRule)
Set-Acl -Path $Item.FullName $ACL