列出所有文件夹，其中用户（管理员除外）允许完全访问

Question

几年前，在我们公司的文件服务器上，我们曾经拥有宽松的权限。 这意味着，有些文件夹的用户往往拥有完全权限。这是一件坏事（用户玩弄权限，锁定系统（和备份）并且只给自己访问权限。

我的目标：

逐个文件夹扫描文件服务器文件夹（文件太多）并输出

• 文件夹完整路径
• 安全身份参考

如果有人除了域管理员或系统之外拥有完全访问权限。

输出会很好：

路径，ACL
E:\share\projectfolder, 域\10JohnDoe
E:\share\commonfolder, 域\所有人
...

这是我所拥有的，但还远远不够：

##define variable
$path = "E:\Share"
## begin script

foreach ($file in Get-Childitem $path -Recurse -Directory) {
    if (Get-Acl $file.FullName |
        select -ExpandProperty Access |
        where {$_.IdentityReference -notlike "AT\Domain Admins" -and
            $_.IdentityReference -notlike "NT AUTHORITY\SYSTEM" -and
            $_.AccessControlType -like "Allow" -and
            $_.FileSystemRights -like "FullControl"}
    ) {
        Write-Host $file.FullName >> e:\check_acl.txt
        Get-Acl $file.FullName |
            select -ExpandProperty Access |
            where {$_.IdentityReference -notlike "AT\Domain Admins" -and
                $_.IdentityReference -notlike "NT AUTHORITY\SYSTEM" -and
                $_.AccessControlType -like "Allow" -and
                $_.FileSystemRights -like "FullControl"
            } >> e:\check_acl.txt
    }
}

但我想，我不能像那样得到输出（到文件中！）。

Answer 1

Write-Host 仅向控制台显示文本，无法保存。 Get-Acl >> check_acl.txt 将写入整个“对象”而不仅仅是身份引用。您想要的是创建一个具有路径和 ACL（身份引用）属性的自定义对象并将其导出到 csv。

我还简化了您的身份排除并将 if-test 更改为 foreach-loop，因此您不必运行整个 Get-ACL-line 两次。

试试这个：

##define variable
$path = "E:\Share"
$ExcludeUsers = 'AT\Domain Admins','NT AUTHORITY\SYSTEM','AT\AT-IT','AT\01STREW','AT\01BRUND','AT\01KNAFP','AT\01BECKC'
## begin script

#Create regex-pattern to match all excluded users
$ExcludeUsersRegex = ($ExcludeUsers | % { [regex]::Escape($_) }) -join '|'


Get-Childitem $path -Recurse -Directory | ForEach-Object {
    $file = $_

    Get-Acl -Path $file.FullName |
    Select-Object -ExpandProperty Access |
    Where-Object {$_.IdentityReference -notmatch $ExcludeUsersRegex -and $_.AccessControlType -eq "Allow" -and $_.FileSystemRights -eq "FullControl"} |
    ForEach-Object {
        #Foreach ACL
        New-Object psobject -Property @{
            Path = $file.FullName
            ACL = $_.IdentityReference
        }
    }
} | Select-Object -Property Path, ACL | Export-Csv e:\check_acl.csv -NoTypeInformation

示例输出：

"Path","ACL"
"C:\Users\frode\Desktop\TEST\YES","CONTOSO\frode"
"C:\Users\frode\Desktop\TEST\YES","CONTOSO\FrodesOtherAccount"