Por que não consigo remover um grupo com icacls de um arquivo depois de revogar o acesso de leitura?

Question

Por que não posso remover um grupo de um arquivo se ele está sendo negado permissão de leitura, mesmo que eu tenha permissão de leitura da minha conta, faça parte do grupo Administradores e esteja executando icacls em um prompt de comando elevado?

Isso removerá o grupo "Usuários" bem:

copy a b
icacls b /inheritance:d
icacls b /remove:g "Users"

Result: The file no longer has the "Users" group.

Mas se eu remover o acesso de leitura, o grupo não poderá ser removido por icacls:

copy a b
icacls b /inheritance:d
icacls b /deny "Users":r
icacls b /remove:g "Users"

Result: The file still has the "Users" group.

Para contornar isso, primeiro concedo uma permissão "completa" a um grupo e uso /remove para garantir que o grupo seja removido. Mas isso parece uma vulnerabilidade, pois um grupo em particular terá, por um curto período, acesso total.

    

Answer 1

Você está usando o botão errado. Você precisa usar /remove:d :

icacls b /remove:d "Users"

Quando um grupo tiver suas permissões negadas, não haverá direitos para a opção /remove:g remover.

Como alternativa, para remover qualquer permissões atribuídas ao grupo, sejam elas de concessão ou negação, use:

icacls b /remove "Users"

Resumo

• /remove:g remove os direitos que são (G) ranted
• /remove:d remove os direitos (D)
• /remove remove todos os direitos

Mais informações sobre opções do Icacls podem ser encontradas em TechNet .