使用(SetACL)实现Windows注册表权限自动化的批处理文件

Question

我正在与我们的最终用户计算团队一起工作，以自动化我们的域迁移。我们使用的方法涉及更改本地用户文件夹和regedit中的HKCU的权限(包括“将所有子对象上的权限项替换为应用于子对象的项”)。

我能够用一个简单的批处理脚本自动完成大部分步骤。对于本地文件夹权限，我使用了icacls：

icacls C:\Users\%localprofile% /grant %domainuser%@contoso.com:(OI)(CI)F /T

对于注册表，我使用了SetACL：

"C:\Win7ProfileTool\SetACL\64 bit\SetACL.exe" -on "hkcu" -ot reg -actn ace -ace "n:%domainuser%@contoso.com;p:full"
"C:\Win7ProfileTool\SetACL\64 bit\SetACL.exe" -on "hkcu" -ot reg -actn setprot -op dacl:np;sacl:np

如果我手动地遵循这个方法，它就没有问题。当我运行我的脚本时，我会收到一个关于没有加载配置文件(以及创建/引导的临时文件)的错误。

我相信我已经把它缩小到了我的2 SetACL行，但我不知道到底需要哪些参数来模拟“用这里显示的适用于子对象的条目替换所有子对象上的权限条目”。

我的googlefu引导我找到了一个不能在RegEdit中使用的icacls解决方案，我一直在搜索SetACL的帮助页面(特别是设置保护标志，但我不确定“保护”值)。

今天，我打算看看“重置儿童”标志--但我不确定我是否走上了正确的道路。

tl；博士:我如何通过使用SetACL来模拟高级安全选项卡复选框“替换.的许可条目”。

Answer 1

我正在通过批处理文件运行setacl来设置注册表，它的工作原理就像一种魅力。也许是你命令制造麻烦的方式。我使用的方式(具有管理权限)

setacl.exe -on "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.%vfilext%\UserChoice" -ot reg -actn clear -clr dacl -silent

更具体和更好地防止故障。我使用的版本是来自此页的3.0.6