PowerShellでフォルダのACLユーザを削除したい

Question

PowerShellにて、フォルダのACLユーザの追加・ACLの変更、ACLの拒否については出来ましたが、ACLユーザ自体を削除する方法を調べましたがわかりませんでした。
参考となるサイトやヒントをご教授頂けないでしょうか。
※PowerShellでACLユーザ自体削除が出来ないようであれば、PowerShellではなく、cacls、icacls、subinaclなどで検討しようかなと思っています。

■該当ユーザのACLを拒否
・"Allow"を"Deny"に指定
・アクセス権を"Delete"や"DeleteSubdirectoriesAndFiles"に指定

■サンプル
$folder_path = 'c:\temp\test'
$fc_user_name = 'Domain\UserName'
$acl = Get-Acl $folder_path

$permission = ($fc_user_name,"FullControl","ContainerInherit, ObjectInherit", "None","Allow")

$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule
$permission

$acl.SetAccessRule($accessRule)
$acl | Set-Acl $folder_path

よろしくお願いいたします。

Answer 1

こんにちは。

Stack Overflowのこちらの記事が役に立つと思います。

• Using powershell to remove group from an NTFS folder fails with SeSecurityPrivilege after removing inheritence

---

基本的にはACLのアクセスルールを消すにはDirectorySecurity(FileSecurity)クラスのRemoveAccessRuleメソッドを使います。

# リンク先の記事より引用
$acl = Get-Acl $NewFolder

# 削除したいアクセスルールを選択する　※ここは個別に変える必要があります
$RemoveDomainUsersACLRule = $acl | Select -ExpandProperty Access | where-object {$_.IdentityReference -eq $UserIdentityReference}

# 削除
$acl.RemoveAccessRule($RemoveDomainUsersACLRule)

また、先述の記事にある様に親フォルダからアクセス権を継承している場合は削除できないので、フォルダやファイルによっては事前にアクセス権の継承を解除しておく必要があります。

# リンク先の記事より引用
$acl = Get-Acl $NewFolder

# アクセス権の継承を解除
$acl.SetAccessRuleProtection($true,$true)

# 変更を確定
Set-Acl -aclobject $acl -Path $NewFolder

最後に、私も詳細は把握していないのですが、アクセスルールを削除した後にSet-Aclを実行すると特権エラーを出す既知の不具合がある様で、この場合はDirectoryInfo(FileInfo)クラスのSetAccessControlメソッドを使うと回避できるそうです。

# リンク先の記事より引用
(Get-Item $NewFolder).SetAccessControl($acl)

(実際手元の環境で試したところ特権エラーの発生と回避を確認できました。)

Comments

[ts_taro_yamada]

ご丁寧なご回答誠にありがとうございます。大変参考となりました。