Значение может задаваться в следующих форматах: группа@домен или домен\группа пользователь@домен или домен\пользователь Полное ...

Значение <пользователь/группа> может задаваться в следующих форматах:
                группа@домен или домен\группа
                пользователь@домен или домен\пользователь
                Полное доменное имя пользователя или группы
                ИД безопасности в строковом формате

   Значение <разрешения> должно задаваться в следующем формате:

        [Биты разрешения];[Объект/Свойство];[Наследуемый тип объекта]

        Биты разрешения могут состоять из следующих значений, объединенных 
        последовательно:

        Общие разрешения
            GR       общее чтение
            GE       общее выполнение
            GW       общая запись
            GA       все общие

       Особые разрешения
            SD       удаление
            DT       удаление объекта и всех его дочерних объектов
            RC       чтение сведений о безопасности
            WD       изменение сведений о безопасности
            WO       изменение сведений о владельце
            LC       перечисление дочерних объектов для объекта

            CC       создание дочернего объекта
            DC       удаление дочернего объекта
                     Для этих двух разрешений: если значением [Объект/Свойство]
                     не задан определенный тип дочернего объекта,
                     они применяются ко всем типам дочерних объектов,
                     иначе - к определенному типу дочерних объектов.

            WS       запись в себя (называется также удостоверенной записью).
                     Есть три вида удостоверенной записи:
                     Self-Membership (bf9679c0-0de6-11d0-a285-00aa003049e2)
                     применяется к объекту-группе. Позволяет обновлять членство
                     в группе в смысле добавления или в собственную учетную 
                     запись или удаления из нее. 
                     Пример: (WS; bf9679c0-0de6-11d0-a285-00aa003049e2; AU)
                     применяется к группе X, позволяет прошедшему проверку 
                     пользователю добавить в группу X или удалить из этой 
                     группы себя, но не кого-то другого.
                     Validated-DNS-Host-Name (72e39547-7b18-11d1-adef-00c04fd8d5cd)
                     применяется к объекту-компьютеру. Позволяет обновлять 
                     атрибут имени узла DNS, который соответствует имени
                     компьютера и домена.
                     Validated-SPN (f3a64788-5306-11d1-a9c5-0000f80367c1)
                     применяется к объекту-компьютеру. Позволяет обновлять 
                     атрибут SPN, который соответствует имени узла DNS
                     компьютера.
            WP       запись свойства
            RP       чтение свойства
                     Для этих двух разрешений: если значением [Объект/Свойство]
                     не задан определенный тип свойства,
                     они применяются ко всем свойствам объекта,
                     иначе - к определенному свойству объекта.

            CA       право управления доступом
                     Для этого разрешения: если значением [Объект/Свойство]
                     не задано определенное "расширенное право" для управления
                     доступом, оно применяется ко всем доступам к управлению, 
                     имеющим смысл для объекта, иначе - к определенному 
                     расширенному праву для этого объекта.

            LO       список доступа к объекту.  Можно использовать для 
                     предоставления доступа списка к определенному объекту,
                     если право списка дочерних объектов (LC) не предоставлено 
                     родительскому объекту, а также может быть отменено для 
                     определенных объектов, чтобы скрыть эти объекты,
                     если пользователь или группа имеет право LC для 
                     родительского объекта.
                     Примечание.  AD DS НЕ ПРИМЕНЯЕТ это разрешение
                     по умолчанию, она должна быть настроена на запуск проверки
                     для этого разрешения.

        [Объект/Свойство]
        должно быть отображаемым именем типа объекта или свойства.
        Например, user - отображаемое имя для объектов-пользователей, а
        telephone number - отображаемое имя для свойства телефонного номера.

        [Наследуемый тип объекта]
        должно быть отображаемым именем типа объекта, для которого 
        предполагается наследование разрешений. 
        Разрешения ДОЛЖНЫ быть "Только наследование".

        Примечание. Можно использовать только при определении разрешений, 
        свойственных объектам, которые переопределяют разрешения по умолчанию,
        определенные в схеме AD DS для этого типа объекта.  ИСПОЛЬЗОВАТЬ С 
        ОСТОРОЖНОСТЬЮ и ТОЛЬКО В ТОМ СЛУЧАЕ, ЕСЛИ ХОРОШО ИЗВЕСТНЫ разрешения,
        свойственные объектам.


        Примеры допустимых значений <разрешения>:

        SDRCWDWO;;user
        означает:
        Удаление, чтение сведений о безопасности, изменение сведений о 
        безопасности и изменение разрешений владения для объектов типа user.


        CCDC;group;
        означает:
        Разрешения создания дочерних объектов и удаления дочерних объектов для
        создания или удаления объектов группы типа.

        RPWP;telephonenumber;
        означает:
        разрешения чтения свойства и записи свойства для свойства 
        телефонного номера.

В команде можно указать несколько пользователей.