icacls, Get-ACL: Dateirechte anzeigen auf der Kommandozeile und in PowerShell

Das für die Änderung von ACLs zuständige icacls bietet laut Online-Hilfe zwar keine Option, um Besitzer und Dateirechte anzuzeigen, tut dies aber, wenn man ihm einfach die Dateinamen ohne Verwendung eines Schalters übergibt:

icacls *.cmd

Dieser Aufruf listet User und Gruppen mit ihren Rechten an der jeweiligen Datei oder dem angegebenen Verzeichnis auf. Die Darstellung der Rechte erfolgt als Kürzel, die man durch Aufruf der Online-Hilfe auflösen kann.

Möchte man auch die ACLs von Dateien in Unterverzeichnissen auslesen, dann gibt es dafür den Schalter /t (aus unerfindlichen Gründen nicht /s oder /r). Wenn sich darunter solche befinden, für die man keine Zugriffsrechte hat, dann bricht icacls ab. Dies kann man durch die Option /c verhindern.

Cmdlet Get-Acl in PowerShell

Die PowerShell bietet mit Get-Acl eine einfache Möglichkeit, die Zugriffsrechte für Dateien und Registry-Schlüssel zu ermitteln. In der einfachsten Form übergibt man dem Cmdlet die Namen einer oder mehrerer Dateien, wahlweise als Komma-separierte Liste oder als Namen mit Wildcards. Hinzu kommt die Möglichkeit, die Auswahl durch die Parameter -include, -exclude und -filter weiter zu verfeinern.

Standardmäßig erfolgt die Anzeige des Ergebnisses in Tabellenform, die aber aufgrund des Rattenschwanzes von Zugriffsrechten ungünstig ist. Daher wird man in der Regel die Listenform bevorzugen. Vor der Wahl der Darstellung wird man zumeist noch gezielt die gewünschten Eigenschaften ausfiltern:

Get-Acl *.cmd | Select path, owner, group, access | fl

Dieses Beispiel liest die ACL-Informationen aller Dateien mit der Endung .cmd aus und extrahiert die Eigenschaften Pfad, Besitzer, Gruppe (des Besitzers) und die Zugriffsrechte. Die Formatierung als Liste übernimmt fl, es ist ein Alias für Format-List.

Dateien in Unterverzeichnissen einschließen

Im Gegensatz zu icacls ist Get-Acl nicht in der Lage, auch Unterverzeichnisse zu berücksichtigen. Wenn man das möchte, muss man sich die entsprechende Fähigkeit von Get-ChildItem zunutze machen:

gci -inc *.cmd -r | % {Get-Acl $_.FullName|select path, Owner} | fl

Dieses Beispiel verwendet das Alias gci für Get-ChildItem und wählt über die Parameter -inc und -r die .cmd-Dateien in allen Unterverzeichnissen aus. Die Liste gelangt über eine Pipe an eine Schleife, (ForEach-Object, Alias %), die jedes Element an Get-Acl übergibt. Ein direktes Durchreichen des gci-Ergebnisses an Get-Acl schlägt fehl, weil Letzteres dann ein Array erhält, aber ein Objekt vom Typ System.IO.FileInfo erwartet.