Windows 2000 ACL 權限診斷工具 Acldiag.exe 深度解析

背景知識

ACL (Access Control Lists，存取控制清單) 是 Active Directory 物件安全性描述元的一部分，決定物件的允許權限。安全性描述元含四部分：建立者、所屬群組、DACL (自主存取控制)、SACL (系統存取控制)。Acldiag 專門診斷 DACL 權限問題，將安全屬性以可讀文字格式輸出至檔案，可作報告上傳。

功能

• 比較預設結構描述中 ACL 定義的權限。
• 使用範本檢查/維護，執行標準授權。
• 針對指定使用者/群組 (或所有)，輸出其有效權限於 ACL 中。

限制： 無法顯示群組原則等虛擬物件資訊。

語法

acldiag "ObjectDN" [/chkdeleg] [/fixdeleg] [/geteffective:{User|Group}] [/schema] [/skip] [/tdo]

參數詳細說明

實際輸出資訊釋義

基本診斷：acldiag "DC=microsoft,DC=com"

1. 診斷目標物件 (相當於病歷掛號)。
2. 物件描述：擁有者 (使用者/群組)。
3. 權限類型：拒絕 / 允許 / 使用者 / 群組 (四選一)。
4. 繼承關係：權限可從父系繼承，或允許子系繼承。
5. 權限稽核：成功 / 失敗，含繼承部分。

預設結構描述檢查：acldiag "DC=microsoft,DC=com" /schema

結果三種：現有、不存在、部分。

授權範本檢查：acldiag "DC=microsoft,DC=com" /chkdeleg

狀態: {OK | NOT PRESENT/MISCONFIGURED}
物件是否使用: {YES | NO}
是否繼承: {YES | NO}

有效權限查詢：acldiag "DC=microsoft,DC=com" /geteffective:User

User 1:
Can Read {All | PropertyList} properties. (via Group membership)
Can Write {All | PropertyList} properties. (via Group membership)
Can Create {All | ObjectList} objects. (via Group membership)
Can Delete {All | ObjectList} objects. (via Group membership)
Can Delete this object. (via Group membership)
Can Delete entire subtree. (via Group membership)
Can List subobjects. (via Group membership)
Can Read permissions. (via Group membership)
Can Modify permissions. (via Group membership)
Can Take/Change ownership. (via Group membership)

大括號為可選項，括號內 via Group membership 表示透過群組成員資格 (稽核) 取得。