Entradas de controle de acesso NTFS diferença entre a saída icacls e GUI

Question

Quando eu adiciono / edito permissões NTFS para um usuário / grupo da linha de comando através do aplicativo icacls, recebo várias entradas ACE na lista para a mesma coisa, enquanto que a partir da GUI toda ACE (uma vez que são todas iguais) é compactado em uma única entrada.

Não encontrei nenhuma informação que valha a pena na documentação oficial, porque a situação está acontecendo.

Alguém já passou por isso ou por situações semelhantes e pode lançar alguma luz sobre esse assunto?

Você pode ver claramente a situação na imagem anexada, um usuário tem várias entradas e elas devem ser compactadas em uma.

    

Answer 1

A lista de controle de acesso (ACL), todas as permissões para um arquivo ou pasta, são separadas em entradas de controle de acesso (ACEs).

No seu caso, a permissão Full Access to this folder, subfolders and files é armazenada em 4 ACEs onde os três primeiros juntos são equivalentes ao quarto.

Eu programei algumas ferramentas NTFS para gerenciamento de permissões e vi isso com frequência quando Full Access é concedido (até o Server 2008 R2 / Windows 7). As permissões são realmente armazenadas dessa maneira na ACL. Desde Server 2012 / Vista o comportamento mudou e eu não encontrei mais isso.

Excecute "icacls C: \" e você sempre encontrará (até o Server 2008 R2):

BUILTIN\Administrators:(F)
BUILTIN\Administrators:(OI)(CI)(IO)(F)

... que também pode ser armazenado em uma ACE como

BUILTIN\Administrators:(OI)(CI)(F) 

Eu não descobri por que ele se comporta dessa maneira, mas é muito comum.