Rmdir windows отказано в доступе

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96

Эксперимент проводил в ограниченной учётной записи пользователя Windows 10 x64 Pro Ru 20H2 (естественно, командную строку запускал с правами пользователя, т.е. без повышения прав).
Изначально имеем папку "D:\Temp\TestFolder", её мы настраиваем и не трогаем при тестировании. Её права: снято наследование от родительской папки, Администраторы:(OI)(CI)(F), СИСТЕМА:(OI)(CI)(F), "%UserName%":(OI)(CI)(F), Владелец: "%UserName%". Команда для настройки папки: ICACLS.exe "D:\Temp\TestFolder" /remove:g "*S-1-5-18" "*S-1-5-32-544" "*S-1-5-32-545" "%UserName%" /remove:d "*S-1-5-18" "*S-1-5-32-544" "*S-1-5-32-545" "%UserName%" /grant:r "*S-1-5-18":(OI)(CI)(F) "*S-1-5-32-544":(OI)(CI)(F) "%UserName%":(OI)(CI)(F) /inheritance:r /C
Если необходимо, владельца меняем (с повышением прав) вручную или командой: ICACLS.exe "D:\Temp\TestFolder" /setowner "%UserName%" /C
 
Далее, описана процедура подходящая как для эксперимента «с нуля», так и для ситуации, когда мы уже поэкспериментировали с папками (поэтому часть действий избыточна).
Для подстраховки сбрасываем права (если команда не сработает, придётся это сделать вручную или удалить папки): ICACLS.exe "D:\Temp\TestFolder\User" /reset /T /C
Удаляем сразу все, возможно имеющиеся, папки, т.к. это проще, чем приводить их артибуты в исходное состояние: RmDir /S /Q "D:\Temp\TestFolder\User"
Создаём нужные папки.
MkDir "D:\Temp\TestFolder\User"
MkDir "D:\Temp\TestFolder\User\1"
 
1-й вариант (работает только на запрет удаления).
Настраиваем права папки «User» (в данном варианте она нам не нужна, но я её оставил чтобы не было путаницы из-за второго варианта, который описан ниже):
ICACLS.exe "D:\Temp\TestFolder\User" /remove:g "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /remove:d "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /grant:r "*S-1-5-18":(OI)(CI)(F) "*S-1-5-32-544":(OI)(CI)(F) "%UserName%":(OI)(CI)(F) /inheritance:r /C
Настраиваем атрибут: Attrib.exe +R "D:\Temp\TestFolder\User\1"
Два подварианта:
а) (с использованием наследования прав и явного запрета):
ICACLS.exe "D:\Temp\TestFolder\User\1" /remove:g "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /remove:d "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /deny "%UserName%":(WA,DE,WDAC,WO) /inheritance:e /C
б) (без наследования прав и явного запрета):
ICACLS.exe "D:\Temp\TestFolder\User\1" /remove:g "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /remove:d "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /grant:r "*S-1-5-18":(OI)(CI)(F) "*S-1-5-32-544":(OI)(CI)(F) "%UserName%":(OI)(CI)(IO)(F) "%UserName%":(RX,WD,AD,WEA,DC) /inheritance:r /C
 
Проверяем права: ICACLS.exe "D:\Temp\TestFolder\User" /T /C
Просмотр установленных атрибутов: Attrib.exe "D:\Temp\TestFolder\User" /S /D
Проверка на удаление: RmDir /S /Q "D:\Temp\TestFolder\User\1"
Проверка на переименование: ReName "D:\Temp\TestFolder\User\1" "1_New"
Просмотр содержимого папок: Dir "D:\Temp\TestFolder\User" /A /S
 
Немного о странностях. 
  Проводник, в контекстном меню папки, перед пунктами «Удалить» и «Переименовать» показывает иконку щита. То есть, проводник уверен, что удалить и переименовать можно только с повышением прав. С переименованием он ошибается. Впрочем, фактически с удалением тоже, т.к. при данных настройках для изменения прав повышение не нужно.
  Если в запрете указать только «WA» (запись атрибутов), то почему-то прописывается ещё и «S» (синхронизация). Если так же настроить через визуальный интерфейс результат будет тем же. При добавлении большего количества запретов, такого эффекта не возникает. Возможно, это связано с атрибутом архивации. Пример настройки прав: ICACLS.exe "D:\Temp\TestFolder\User\1" /remove:g "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /remove:d "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /deny "%UserName%":(WA) /inheritance:e /C . Результат для пользователя «User»: User:(DENY)(S,WA), User:(I)(OI)(CI)(F).
  Если в запрете указать «D» (в отдельности или с другими правами), то происходит какой-то сбой в правах и ОС перестаёт пускать в папку. Хотя, судя по правам (как через GUI, так и через ICACLS.exe) всё нормально и проблем быть не должно. При показе прав через ICACLS.exe пишет "D:\Temp\TestFolder\User\1\*: Отказано в доступе. Успешно обработано 2 файлов; не удалось обработать 1 файлов". А ведь там больше ничего нет, только две папки. Может, нельзя прописывать права одновременно в краткой и подробной форме? Но, с другими комбинациями ((M,WDAC,WO) и (RX,W,WDAC,WO,DC)) проблем нет. Причём, судя по документации «D» можно использовать при прописывании прав, да и сама ICACLS.exe при просмотре прав пишет «D», а не «DE». При использовании «DE» проблем нет.
  Что касается настройки прав, то так и не понял, в чём моя ошибка. 
 
2-й вариант (запрещает как удалять папку, так и переименовывать её).
Настраиваем права:
а) (с использованием наследования прав и явного запрета)
ICACLS.exe "D:\Temp\TestFolder\User" /remove:g "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /remove:d "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /deny "%UserName%":(DC,WDAC,WO) /inheritance:e /C
ICACLS.exe "D:\Temp\TestFolder\User\1" /remove:g "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /remove:d "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /deny "%UserName%":(DE,WDAC,WO) /inheritance:e /C
б) (без наследования прав и явного запрета)
ICACLS.exe "D:\Temp\TestFolder\User" /remove:g "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /remove:d "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /grant:r "*S-1-5-18":(OI)(CI)(F) "*S-1-5-32-544":(OI)(CI)(F) "%UserName%":(M) "%UserName%":(OI)(CI)(IO)(F) /inheritance:r /C
ICACLS.exe "D:\Temp\TestFolder\User\1" /remove:g "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /remove:d "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /grant:r "*S-1-5-18":(OI)(CI)(F) "*S-1-5-32-544":(OI)(CI)(F) "%UserName%":(RX,W,DC) "%UserName%":(OI)(CI)(IO)(F) /inheritance:r /C
 
Проверяем права: ICACLS.exe "D:\Temp\TestFolder\User" /T /C
Просмотр установленных атрибутов: Attrib.exe "D:\Temp\TestFolder\User" /S /D
Проверка на удаление: RmDir /S /Q "D:\Temp\TestFolder\User\1"
Проверка на переименование: ReName "D:\Temp\TestFolder\User\1" "1_New"
Просмотр содержимого папок: Dir "D:\Temp\TestFolder\User" /A /S
 
И опять о странностях.
  Проводник, в контекстном меню папки, перед пунктом «Удалить» показывает иконку щита. То есть, проводник уверен, что удалить можно только с повышением прав, а переименовать можно без повышения. Тут он ошибается с переименованием. 
  Если настроить обе папки, то это работает, а вот если только дочернюю (с явным запретом), то нет. И это при том, что приоритет в правах такой (в порядке убывания): Явные отзывы, Явные предоставления, Унаследованные отзывы, Унаследованные предоставления.
  Вот такая команда «ICACLS.exe "D:\Temp\TestFolder\User" /remove:g "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /remove:d "*S-1-5-18" "*S-1-5-32-544" "%UserName%" /deny "%UserName%":(DC,WDAC,WO) /inheritance:e /C» почему-то так же прописывает запрет на синхронизацию: %UserName%:(DENY)(WDAC,WO,S,DC).
 
 
Краткая справка по применённым в командах правам.
Распространение прав:
(I) - наследование прав от родительской папки.
(OI)(CI) - "Для этой папки, её подпапок и файлов".
(OI)(CI)(IO) - "Только для подпапок и файлов".
без параметра - "Только для этой папки".
Сами права:
M - доступ на изменение - все права, кроме - Удаление подпапок и файлов, Смена разрешений, Смена владельца.
RX - Чтение и выполнение - Обзор папок / Выполнение файлов, Содержание папки / Чтение данных, Чтение атрибутов, Чтение дополнительных атрибутов, Чтение разрешений.
W - доступ только на запись - Создание файлов / Запись данных, Создание папок / Дозапись данных, Запись атрибутов, Запись дополнительных атрибутов.
M,WDAC,WO - все права, кроме - "Удаление подпапок и файлов".
RX,W,DC,WDAC,WO - все права, кроме - "Удаление".
 
Список прав доступных для изменения через визуальный интерфейс:
Полный доступ .................. - F
Обзор папок / Выполнение файлов  - X
Содержание папки / Чтение данных - RD
Чтение атрибутов ............... - RA
Чтение дополнительных атрибутов  - REA
Создание файлов / Запись данных  - WD
Создание папок / Дозапись данных - AD
Запись атрибутов ............... - WA
Запись дополнительных атрибутов  - WEA
Удаление подпапок и файлов ..... - DC
Удаление ....................... - DE
Чтение разрешений .............. - RC
Смена разрешений ............... - WDAC
Смена владельца ................ - WO
 
/remove:g и /remove:d использую, чтобы гарантированно убрать лишние уже имеющиеся разрешения и запреты (но это не всегда нужно).
 
Участники безопасности:
"*S-1-5-18" - Система.
"*S-1-5-32-544" - группа "Администраторы".
"*S-1-5-32-545" - группа "Пользователи".
 
Небольшая справка по основным атрибутам (взята из Википедии).
В операционных системах DOS и Microsoft Windows существуют четыре атрибута:
   Архивный (A): Когда этот атрибут установлен, это означает, что файл был изменён со времени проведения последнего резервного копирования. ПО, с помощью которого выполняется резервное копирование, также отвечает за снятие этого атрибута.
   Скрытый (H): Файл с установленным атрибутом считается скрытым. Это означает, что команды MS-DOS (dir) и программы Windows (такие как Проводник) по умолчанию не будут отображать этот файл, если не включён специальный режим.
   Системный (S): Файл с установленным атрибутом считается системным — таким, существование которого в неизменённом виде критически важно для нормальной работы системы. По умолчанию команды MS-DOS (dir) и программы Windows (такие как Проводник) не будут отображать этот файл, если не включён специальный режим.
   Только чтение (R): Установленный атрибут означает, что содержимое файла нельзя изменять. Как правило, программы для Windows игнорируют этот атрибут, если он установлен для каталогов.