1

我想将 ACE 添加到注册表项，但它不是通过子项继承的。这是VBScript代码：

Set sdUtil = CreateObject("ADsSecurityUtility")
S = "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\XXXX"
Set sd = sdUtil.GetSecurityDescriptor(S, ADS_PATH_REGISTRY, ADS_SD_FORMAT_IID)
Set oldDacl = sd.DiscretionaryAcl
Set dacl = CreateObject("AccessControlList")
dacl.AclRevision = ADS_REVISION_DS
dacl.AceCount = 0
'remove network service ace if it exists
For Each ace In oldDacl
    If UCase(ace.trustee) <> "NT AUTHORITY\NETWORK SERVICE" And UCase(ace.trustee) <> "S-1-5-20" Then
        ace.AceFlags = ace.AceFlags Or OBJECT_INHERIT_ACE Or CONTAINER_INHERIT_ACE
        dacl.AddAce ace
    End If
Next
'add the new network service ace
Set ace = CreateObject("AccessControlEntry")
ace.Trustee = "NT AUTHORITY\NETWORK SERVICE"
ace.AccessMask = KEY_ALL_ACCESS 
ace.AceFlags = OBJECT_INHERIT_ACE Or CONTAINER_INHERIT_ACE
ace.AceType = ADS_ACETYPE_ACCESS_ALLOWED
dacl.AddAce ace
If (sd.Control And SE_DACL_AUTO_INHERITED) <> 0 Then
    sd.Control = sd.Control Or SE_DACL_AUTO_INHERIT_REQ
End If
If (sd.Control And SE_SACL_AUTO_INHERITED) <> 0 Then
    sd.Control = sd.Control Or SE_SACL_AUTO_INHERIT_REQ
End If
If (sd.Control And SE_DACL_PROTECTED) <> 0 Then
    sd.Control = sd.Control Xor SE_DACL_PROTECTED
End If
ReorderDacl dacl 'This subroutine reorder dacl using w2k rules
sd.DiscretionaryAcl = dacl 
ret = sdUtil.SetSecurityDescriptor(S, ADS_PATH_REGISTRY, sd, ADS_SD_FORMAT_IID)

我还使用另一个例程扫描所有子密钥并删除所有 ACE，但标记为 ADS_ACEFLAG_INHERITED_ACE 的除外

代码执行后，我得到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\XXXX 的孩子只继承 SYSTEM、Administrators、Everyone 和 Restricted 访问权限。它们是在父键上设置的，但网络服务访问是在 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\XXXX 但不会传播给子项。

4

1 回答 1

0

最后，我知道已经存在的子键不会自动获得继承的 ace，所以我必须手动和递归地使用 ADS_ACEFLAG_INHERITED_ACE 或'ed 将 ace 添加到所有子项。

虽然文档说 ADS_ACEFLAG_INHERITED_ACE 是由系统设置的，但也可以手动设置。

于 2013-09-27T12:23:22.607 回答