| 用途 | 在既有授权面上做例外封堵 |
|---|---|
| 语法 | icacls 路径 /deny 账号:掩码 |
| 优先级 | Deny > Allow（所有组并集之上） |
常用示例
常用示例
icacls D:\Share\Finance /deny "DOMAIN\contractor:(OI)(CI)RX"
:: 移除拒绝条目
icacls D:\Share\Finance /remove:d "DOMAIN\contractor"排查“此人明明在授权组里却打不开”时，先全局搜 Deny 条目。
本包目录（413 条）
CMD 常用命令74 条PowerShell 基础66 条网络排查41 条服务与进程42 条磁盘与文件43 条
用户与权限34 条
- 共享权限 vs NTFS 权限（取交集）
- net user 查看本地账户
- net localgroup 组成员管理
- NTFS 权限基础（基本权限与高级权限）
- 场景：访问被拒绝排错（五步法）
- Get-LocalUser 查询本地用户
- whoami 查看当前身份与特权
- net user 创建、删除与改密
- 场景：员工离职权限清理清单
- New-LocalUser 创建本地用户
- 场景：共享“能读不能写”排查
- Set-LocalUser 修改与停用账户
- 本地组管理（New-LocalGroup 全流程）
- net accounts 本机密码与锁定策略
- 本机账户安全检查清单（四件套）
- 继承与传播规则（(I) 标记）
- 部门共享目录的权限设计建议
- 内置组职责速记
- UAC 与管理员批准模式
- 脚本自提权（检测并 RunAs 重启自身）
- 有效权限怎么算（并集 + 拒绝优先）
- 权限备份与还原（icacls /save /restore）
- SID 与已知安全标识速记
- runas 以其他账户身份运行程序
- 移动与复制对权限的影响
- 本地账户被锁：现象、排查与解锁
- cmdkey 管理存储凭据
- 显式拒绝（Deny）的使用与陷阱
- Get-Acl / Set-Acl 与 SDDL
- 用户配置文件路径与清理
- 所有者变更与所有权语义
- 管理员为什么总能访问（特权与取得所有权）
- 用户权利分配（secpol.msc 本地策略）
- 场景：本机管理员访问丢失（授权恢复）
显式拒绝（Deny）的使用与陷阱
Deny 优先级最高、一票否决：用于封堵个别越权面；滥用会让权限模型难以推理，多数场景用“少授权”替代。
易错点
- Deny 对组生效会波及所有成员，包括管理员工作流
- 拒绝条目留在 ACL 里多年后没人记得来源，审计要标注原因
数据来源与参考
- Microsoft Learn：显式拒绝权限
- Microsoft Learn：icacls /deny