は次の形式で指定します: グループ@ドメインまたはドメイン\グループ ユーザー@ドメインまたはドメイン\ユーザー ユーザーまたはドメインの FQDN SID 文字列 は次の形式で指定します: アクセス許可キーワード];[オブジェクト/プロパティ];[継承先オブジェクトの種類 ...

<ユーザー/グループ> は次の形式で指定します:
                グループ@ドメインまたはドメイン\グループ
                ユーザー@ドメインまたはドメイン\ユーザー
                ユーザーまたはドメインの FQDN
                SID 文字列

   <アクセス許可> は次の形式で指定します:

  [アクセス許可キーワード];[オブジェクト/プロパティ];[継承先オブジェクトの種類]

        アクセス許可キーワードには、次の値を連結して使用できます:

        汎用のアクセス許可
            GR      汎用読み取り
            GE      汎用実行
            GW      汎用書き込み
            GA      汎用すべて

        特定のアクセス許可
            SD      削除
            DT      任意のオブジェクトとその子すべてを削除
            RC      セキュリティ情報の読み取り
            WD      セキュリティ情報の変更
            WO      所有者情報の変更
            LC      任意のオブジェクトの子を一覧表示

            CC      子オブジェクトの作成
            DC      子オブジェクトの削除
                    これらの 2 つのアクセス許可については、
                    [オブジェクト/プロパティ] で特定の子オブジェクトの種類を
                    定義していない場合、子オブジェクトのすべての種類に
                    適用されます。定義している場合、その特定の子オブジェクトの
                    種類に適用されます。

            WS     自身に書き込み (検証された書き込み)。
                   検証された書き込みには、次の 3 つの種類があります:
                       自己メンバーシップ (bf9679c0-0de6-11d0-a285-00aa003049e2)
                       グループ オブジェクトに適用されます。自身のアカウントに
                       追加/削除を行い、グループのメンバーシップを更新できます。
                    例: (WS; bf9679c0-0de6-11d0-a285-00aa003049e2; AU) を
                    グループ X に適用すると、認証されたユーザーがグループ X
                    に対して、自身を追加/削除できるようになります。他のメンバーは
                    操作できません。
                       検証された DNS ホスト名
                    (72e39547-7b18-11d1-adef-00c04fd8d5cd)。コンピューター
                       オブジェクトに適用されます。コンピューター名およびドメイン
                       名形式の DNS ホスト名属性を更新できるようにします。
                       検証された SPN (f3a64788-5306-11d1-a9c5-0000f80367c1)。
                       コンピューター オブジェクトに適用されます。コンピューターの
                       DNS ホスト名である SPN 属性を更新できるようにします。
            WP      プロパティの書き込み
            RP      プロパティの読み取り
                    これらの 2 つのアクセス許可については、
                    [オブジェクト/プロパティ] で特定のプロパティを定義して
                    いない場合、すべてのプロパティに適用されます。
                    定義している場合、オブジェクトのそのプロパティに
                    適用されます。

            CA      アクセス権の制御
                    このアクセス許可は、[オブジェクト/プロパティ] で、アクセス
                    制御の特定の "拡張された権利" を定義していない場合、その
                    オブジェクトに対して有効なアクセス制御すべてに適用され
                    ます。定義していない場合、そのオブジェクトの特定の拡張
                    された権利に適用されます。

            LO      オブジェクト アクセスの一覧表示。親に対して子の一覧表示
                    (LCが許可されていない場合に、特定のオブジェクトにアクセスの
                    一覧表示を許可することができます。また、ユーザー/グループの
                    親に LC が設定されている場合に、特定のオブジェクトに対して
                    拒否することで、そのオブジェクトを非表示にできます。
                    注意: AD DS は、このアクセス許可を既定で適用しません。この
                    アクセス許可のチェックを開始するには設定を行う必要が
                    あります。

        [オブジェクト/プロパティ]
        オブジェクトの種類またはプロパティの表示名を指定します。たとえば、
        "user" はユーザー オブジェクトの表示名で、
        "telephone number" は電話番号プロパティの表示名です。

        [継承先オブジェクトの種類]
        アクセス許可の継承先オブジェクトの種類の表示名を指定します。
        アクセス許可は継承されるだけです。

        注意: これは、そのオブジェクトの種類に対して AD DS スキーマで定義
        されている既定のアクセス許可を上書きする、オブジェクト固有の
        アクセス許可を定義する場合にのみ使用してください。使用に際しては慎重に
        行い、オブジェクト固有のアクセス許可が明確な場合のみ使用してください。


        有効な <アクセス許可> の形式の例は次のとおりです。

        SDRCWDWO;;user
        意味:
        種類が "user" であるオブジェクトについて、セキュリティ情報の削除、
        読み取り、変更、および所有者のアクセス許可の変更を行います。


        CCDC;group;
        意味:
        種類が "group" であるオブジェクトを作成/削除するための、子アクセス
        許可を作成、削除します。

        RPWP;telephonenumber;
        意味:
        電話番号プロパティに対する、プロパティの読み取りおよび
        プロパティの書き込みアクセス許可

1 つのコマンドで複数のユーザーを指定できます。