은 다음 형식이어야 합니다. group@domain 또는 domain\group user@domain 또는 domain\user 사용자 또는 그룹의 FQDN 문자열 SID 은 다음 형식이어야 합니다. 사용 권한 비트];[개체/속성];[상속된 ...

<사용자/그룹>은 다음 형식이어야 합니다.
                group@domain 또는 domain\group
                user@domain 또는 domain\user
                사용자 또는 그룹의 FQDN
                문자열 SID

   <사용 권한>은 다음 형식이어야 합니다.

        [사용 권한 비트];[개체/속성];[상속된 개체 유형]

        사용 권한 비트는 다음 값이 연결되어 구성될 수 있습니다.

        일반 사용 권한
            GR      일반 읽기
            GE      일반 실행
            GW      일반 쓰기
            GA      일반 전체

       특정 사용 권한
            SD      삭제
            DT      개체 및 모든 자식 개체 삭제
            RC      보안 정보 읽기
            WD      보안 정보 변경
            WO      소유자 정보 변경
            LC      개체의 자식 나열

            CC      자식 개체 만들기
            DC      자식 개체 삭제
                    이러한 두 사용 권한의 경우 [개체/속성]을 지정하여 특정
                    자식 개체 유형을 정의하지 않으면
                    사용 권한이 모든 유형의 자식 개체에 적용되고, 그렇지 않으면
                    해당 특정 자식 개체에 적용됩니다.

            WS      자체에 쓰기(유효한 쓰기라고도 함). 유효한
                    쓰기에는 세 가지 종류가 있습니다.
                       자체 구성원(bf9679c0-0de6-11d0-a285-00aa003049e2)
                       그룹 개체에 적용됩니다. 이 권한은 자체 계정에서
                       추가/제거하여 그룹의 구성원을 업데이트할 수 있도록 합니다. 
                    예: (WS; bf9679c0-0de6-11d0-a285-00aa003049e2; AU)
                    그룹 X에 적용되며 인증된 사용자가 그룹 X에서 자기 자신을
                    추가/제거할 수 있지만 다른 사용자는 추가/제거할 수 없습니다.
                       유효한 DNS 호스트 이름(72e39547-7b18-11d1-adef-00c04fd8d5cd)
                       컴퓨터 개체에 적용됩니다. 조건에 부합되는 
                       DNS 호스트 이름 특성을 컴퓨터 이름 및
                       도메인 이름으로 업데이트할 수 있습니다.
                       유효한 SPN(f3a64788-5306-11d1-a9c5-0000f80367c1)
                       컴퓨터 개체에 적용됩니다. 조건에 부합되는
                       SPN 특성을 컴퓨터의 DNS 호스트 이름으로
                       업데이트할 수 있습니다.
            WP      속성 쓰기
            RP      속성 읽기
                    이러한 두 사용 권한의 경우 [개체/속성]을 지정하여 특정
                    속성을 정의하지 않으면
                    속성이 개체의 모든 속성에 적용되고, 그렇지 않으면
                    개체의 특정 속성에 적용됩니다.

            CA      액세스 제어 권한
                    이 사용 권한의 경우 [개체/속성]을 지정하여
                    액세스 제어에 대한 특정 "확장 권한"을 정의하지 않으면
                    개체에 대한 의미 있는 모든 액세스 제어에 적용되고,
                    그렇지 않으면 해당 개체의 특정 확장 권한에
                    적용됩니다.

            LO      개체 액세스를 나열합니다. LC(자식 나열)가 부모에
                    부여되지 않은 경우 특정 개체에 대한 액세스 나열 권한을
                    부여하는 데 사용될 수 있으며
                    사용자/그룹이 부모에 대해 LC를 갖는 경우 해당 개체를
                    숨기기 위해 특정 개체에서 거부될 수 있습니다.
                    참고:  AD DS는 기본적으로 이 사용 권한을 적용하지 않으며
                    이 사용 권한에 대한 검사를 시작하도록
                    구성되어야 합니다.

        [개체/속성]
        개체 유형 또는 속성의 표시 이름이어야 합니다.
        예를 들어 "사용자"는 사용자 개체의 표시 이름이고
        "전화 번호"는 전화 번호 속성의 표시 이름입니다.

        [상속된 개체 유형]
        사용 권한이 상속될 개체 유형의
        표시 이름이어야 합니다. 사용 권한은 상속 전용이어야 합니다.

        참고: 이 유형은 해당 개체 유형에 대해 AD DS 스키마에 정의된 기본
        사용 권한을 재정의하는 개체 특정 사용 권한을 정의할 때만 사용되어야
        합니다. 이 유형은 주의해서 사용해야 하며 개체 특정 사용 권한을
        잘 이해하고 있는 경우에만 사용하십시오.


        유효한 <사용 권한> 예:

        SDRCWDWO;;user
        의미:
        "사용자" 유형의 개체에 대한 보안 정보 삭제, 읽기, 보안 정보 변경
        및 소유권 변경 사용 권한입니다.


        CCDC;group;
        의미:
        그룹 유형의 개체를 만들고 삭제하기 위한 자식 만들기 및
        자식 삭제 사용 권한입니다.

        RPWP;telephonenumber;
        의미:
        전화 번호 속성에 대한 속성 읽기 및 속성 쓰기
        사용 권한입니다.

한 명령에 둘 이상의 사용자를 지정할 수 있습니다.