对象所有者与所有权是什么
每个可保护对象（文件、目录、注册表项等）都有所有者。所有者拥有一项特权：始终可以修改该对象的权限，即使当前 ACL 里没有给他任何权限。这解释了很多“权限明明被收回却还能改回来”的疑问。排查权限问题时先看所有者是谁，往往比逐条读 ACL 更快找到症结。
基本信息
| 适用平台 | Windows NTFS 卷、注册表等可保护对象 |
|---|---|
| 查看所有者 | (Get-Acl 路径).Owner；icacls 输出中的所有者行 |
| 变更所有者 | icacls 路径 /setowner 账号 [/T] |
| 替代工具 | takeown /F 路径 /A（把所有者设为管理员组） |
| 权限要求 | 更改为他人需要“取得所有权”特权，通常为管理员 |
典型使用场景
- 权限被莫名改回：确认所有者是否为业务账号而非管理员组
- 接手遗留目录：把所有者统一改为管理员组，便于集中治理
- 数据交接：人员离职后将其拥有的目录所有权转移
- 排查访问异常：所有者与 ACL 组合决定最终可做什么
- 合规加固：关键目录的所有权与权限配置一并纳入基线
常用示例
常用示例
:: 查看所有者
(Get-Acl D:\Share).Owner
icacls D:\Share
:: 变更目录及其子项的所有者（递归需管理员）
icacls D:\Share /setowner "BUILTIN\Administrators" /T
:: 也可以先取得所有权再改权限
takeown /F D:\Sensitive /A
:: 查看注册表项所有者
(Get-Acl 'HKLM:\SOFTWARE\Vendor').Owner
:: 批量采集所有者做基线比对
Get-ChildItem D:\Share -Directory | ForEach-Object { "$($_.Name)`t$((Get-Acl $_.FullName).Owner)" } > D:\owner_list.txt关键点对照
| 项目 | 含义 | 排查价值 |
|---|---|---|
| Owner | 对象所有者 | 始终能改权限，是排查的起点 |
| /setowner | 修改所有者 | 可递归应用，需管理员 |
| takeown /A | 把所有权交给管理员组 | 应急接管的规范做法 |
| /T | 递归应用到子项 | 影响范围大，先小范围验证 |
所有者不受 ACL 限制是设计使然，不是漏洞。这也能解释为什么“把权限全清掉”并不能阻止管理员：他可以直接取得所有权或改回权限。
把大量目录的所有者统一改成组会丢失个人归属信息，审计要求高的目录应当保留可追溯的归属。批量变更前先导出所有者清单作为留档。
变更所有者会影响第三方备份、同步与归档工具的策略：有些工具按所有者做增量判断或权限映射，改动后需要重新核对备份作业是否仍然完整覆盖。