O problema é que os direitos de acesso são herdados da pasta pai.
As duas linhas seguintes farão o seguinte:
icacls toto.txt /inheritance:r
icacls toto.txt /grant "everyone":R
A primeira linha adicional removerá toda a herança.
Eu sabia como definir um arquivo como somente leitura com cacls :
cacls "toto.txt" //E //P Everyone:N
cacls "toto.txt" //E //G Everyone:R
Ele removeu todos os direitos de todos e só adicionou "Read" corretamente.
Como fazer a mesma coisa com icacls ?
Em particular, tentei:
icacls toto.txt /grant "everyone":R , mas o arquivo ainda é gravável icacls toto.txt /deny "everyone":W , mas o arquivo não é mais legível