Início / computer / Perguntas / 1445128
Accepted
Programmierus
Asked: 2019-06-06 01:48:13 +0800 CST

Como gerenciar NTFS Conditional Access (DAC) com base na associação de grupo via Powershell?

  • 772

Preciso gerenciar as condições de acesso NTFS com base na associação de grupo por meio do Powershell . Vasculhando a documentação do MS sobre DAC, encontrei vários cmdlets [Get/New/Set/Remove]-[ADClaimType/ADCentralAccessPolicy/ADCentralAccessRule], mas a condição que criei usando a GUI ( Captura de tela de configurações ) não está aparecendo lá. Mesmo que funcione corretamente, restringindo o acesso apenas aos membros do grupo especificado.

Tenho a sensação de que estou perdendo algum ponto aqui ... Não tem nada a ver com as reivindicações (já que a associação ao grupo não é um atributo de registro do usuário do AD), então esperava que a condição que criei fosse mostrada na regra/política lista, mas ambos parecem estar vazios.

O objetivo final é a maneira de gerenciar esse tipo de condição via PS para fins de automação. Seria muito útil se alguém me indicasse a direção certa.

Alexei Panov - Dresden

powershell ntfs

1 respostas

  1. Best Answer

    Respondendo à minha própria pergunta, caso alguém precise ... A regra de acesso na captura de tela não é central (portanto, não está aparecendo no AD DAC), mas parece ser uma espécie de extensão da ACL regular.

    A única maneira de modificá-lo que encontrei é através do SDDL.

    1. Obter objeto ACL:$acl = Get-Acl -Path $FolderPath
    2. Obtenha a string SDDL atual:$acl.Sddl
    3. Expanda uma entrada existente com a regra condicional como esta (Nota e Xpartes ).0x1301bf;(Member_of_any {SID(S-1-5-21-XXX-XXX-XXX-1619)})
    (A;OICI;FA;;;S-1-5-21-XXX-XXX-XXX-1113)

    (XA;OICI;0x1301bf;;;S-1-5-21-XXX-XXX-XXX-1113;(Member_of_any {SID(S-1-5-21-XXX-XXX-XXX-1619)}))

    Mais exemplos podem ser aprendidos examinando diferentes SDDLs de objetos criados por GUI.

    1. Modifique o objeto $acl:$acl.SetSecurityDescriptorSddlForm($NewSddl)
    2. Reaplique-o na pasta:Set-Acl -Path $FolderPath -AclObject $acl

    Se alguém souber a maneira mais prática - responda :)

    Alexei Panov - Dresden

    • 0

relate perguntas