ICACLS имя /save ACL_файл /T /C /L /Q сохранение DACL файлов и папок, соответствующих имени, в ACL-файл для последующего ...

ICACLS имя /save ACL_файл [/T] [/C] [/L] [/Q]
    сохранение DACL файлов и папок, соответствующих имени, в ACL-файл для
    последующего использования с командой /restore. Обратите внимание, что
    метки SACL, владельца и целостности не сохраняются.

ICACLS каталог [/substitute SidOld SidNew [...]] /restore ACL_файл
                 [/C] [/L] [/Q]
    применение сохраненных DACL к файлам в каталоге.

ICACLS имя /setowner пользователь [/T] [/C] [/L] [/Q]
    изменение владельца всех соответствующих имен. Этот параметр не
    предназначен для принудительной смены владельца; для этих целей следует
    использовать программу takeown.exe.

ICACLS имя /findsid Sid [/T] [/C] [/L] [/Q]
    поиск всех соответствующих имен, которые включают в себя ACL,
    явно содержащие данный Sid.

ICACLS имя /verify [/T] [/C] [/L] [/Q]
    поиск всех файлов, чьи ACL не являются каноническими или длина которых
    не соответствует количеству ACE.

ICACLS имя /reset [/T] [/C] [/L] [/Q]
    замена ACL унаследованными по умолчанию ACL для всех соответствующих
    файлов.

ICACLS имя [/grant[:r] Sid:разрешение[...]]
       [/deny Sid:разрешение [...]]
       [/remove[:g|:d]] Sid[...]] [/T] [/C] [/L] [/Q]
       [/setintegritylevel уровень:политика[...]]

    /grant[:r] Sid:разрешение - предоставление указанных прав доступа
        пользователя. При использовании параметра :r эти разрешения заменяют
        любые ранее предоставленные явные разрешения. Если параметр :r не
        используется, разрешения добавляются к любым ранее предоставленным
        явным разрешениям.

    /deny Sid:разрешение - явный отзыв указанных прав доступа пользователя.
        ACE явного отзыва добавляется для заявленных разрешений,
        и любое явное предоставление этих же разрешений удаляется.

    /remove[:[g|d]] Sid - удаление всех вхождений Sid в ACL. При использовании
        параметра :g удаляются все вхождения предоставленных прав в этом Sid.
        При использовании параметра :d удаляются все вхождения отозванных
        прав в этом Sid.

    /setintegritylevel [(CI)(OI)]уровень - явное добавление ACE уровня
        целостности ко всем соответствующим файлам. Уровень может принимать
        одно из следующих значений:
            L[ow]:    низкий
            M[edium]: средний
            H[igh]:   высокий
        Перед уровнем могут указываться параметры наследования для ACE
        целостности, которые применяются только к каталогам.

    /inheritance:e|d|r
       e - включение наследования
       d - отключение наследования и копирование ACE
        r - удаление всех унаследованных ACE


Примечание:
    Идентификаторы SID могут быть представлены либо в числовой форме, либо в
    форме понятного имени. Если задана числовая форма, добавьте * в начало
    SID.

    /T - операция выполняется для всех соответствующих файлов и каталогов,
         расположенных в указанных в имени каталогах.

    /C - выполнение операции продолжается при любых файловых ошибках.
         Сообщения об ошибках по-прежнему выводятся на экран.

    /L - операция выполняется над самой символической ссылкой,
         а не над ее целевым объектом.

    /Q - команда ICACLS подавляет сообщения об успешном выполнении.

    ICACLS сохраняет канонический порядок записей ACE:
            Явные отзывы
            Явные предоставления
            Унаследованные отзывы
            Унаследованные предоставления

    разрешение - это маска разрешения, которая может задаваться в одной из
    двух форм:
        последовательность простых прав:
                N - доступ отсутствует
                F - полный доступ
                M - доступ на изменение
                RX - доступ на чтение и выполнение
                R - доступ только на чтение
                W - доступ только на запись
                D - доступ на удаление
        список отдельных прав, разделенный запятыми и заключенный в скобки:
                DE - удаление
                RC - чтение
                WDAC - запись DAC
                WO - смена владельца
                S - синхронизация
                AS - доступ к безопасности системы
                MA - максимально возможный
                GR - общее чтение
                GW - общая запись
                GE - общее выполнение
                GA - все общие
                RD - чтение данных, перечисление содержимого папки
                WD - запись данных, создание файлов
                AD - добавление данных и вложенных каталогов
                REA - чтение дополнительных атрибутов
                WEA - запись дополнительных атрибутов
                X  - выполнение файлов и обзор папок
                DC - удаление вложенных объектов
                RA - чтение атрибутов
                WA - запись атрибутов
        права наследования могут предшествовать любой форме и применяются
        только к каталогам:
                (OI) - наследование объектами
                (CI) - наследование контейнерами
                (IO) - только наследование
                (NP) - запрет на распространение наследования
                (I)  - наследование разрешений от родительского контейнера

Примеры:

        icacls c:\windows\* /save ACL_файл /T
        - сохранение ACL для всех файлов в каталоге c:\windows
          и его подкаталогов в ACL-файл.

        icacls c:\windows\ /restore ACL_файл
        - восстановление ACL из ACL-файла для всех файлов в каталоге
          c:\windows и его подкаталогах.

        icacls файл /grant Administrator:(D,WDAC)
        - предоставление пользователю Administrator разрешений на удаление
          и запись DAC для файла.

        icacls файл /grant *S-1-1-0:(D,WDAC)
        - предоставление пользователю с SID S-1-1-0 разрешений на удаление
          и запись DAC для файла.