前言（感觉要说的东西很多，就来个前言吧）
作为域管理员，不能给普通用户太大的权限，一般把域帐号加入本地的“Power users”组就可以了。但是要注意一些问题。有时候用管理员安装的软件，域帐号却无法运行，这可能是域帐号对软件的安装目录缺少完全控制权限。（这一般是因为安装软件的打包设计比较烂，根本没有安装成所有用户可用的功能）。这时通常的做法是切换至管理员帐号（本地管理员或域管理员），选择“软件安装目录”，右键“共享和安全”，在“安全”选项卡，点“添加”，选择“域帐号”，授予域帐号完全控制权限。然后再切换回域帐号，看一下软件能否正常运行。这个过程非常繁琐，等待的时间很长，效率很低，那么有什么简单的方法来实现呢？如果你对此感兴趣，就继续看吧！
一、 一、先说一下如何在普通用户权限下运行程序。
方法有几种，第一种利用Windows自带的Runas命令。第二种利用第三软件来实现，例如：CPAU等。
1、Runas命令，在使用该命令时，会弹出对话框，输入密码后，即可执行命令。
Runas命令用法：
RUNAS [ [/noprofile | /profile] [/env] [/netonly] ]
/user:<UserName> program
RUNAS [ [/noprofile | /profile] [/env] [/netonly] ]
/smartcard [/user:<UserName>] program
/noprofile 指定不应该加载用户的配置文件。
这会加速应用程序加载，但
可能会造成一些应用程序运行不正常。
/profile 指定应该加载用户的配置文件。
这是默认值。
/env 要使用当前环境，而不是用户的环境。
/netonly 只在指定的凭据限于远程访问的情况下才使用。
/savecred 用用户以前保存的凭据。
Windows XP Home Edition 上没有这个选项。
该选项会被忽略。
/smartcard 如果凭据是智能卡提供的，则使用这个选项。
/user <UserName> 应使用 USER@DOMAIN 或 DOMAIN\USER 形式
program EXE. 的命令行。请参阅下面的例子
例如:
> runas /profile /env /user:mydomain\admin “mmc %windir%\system32\dsa.msc”
> runas /env /user:user@domain.microsoft.com “notepad \”my file.txt\””
>Runas /netonly /user:domain\zhangsan cmd
解释一下上面的命令。以域名“domain”域管理员帐号“zhangsan”运行“CMD”命令。这样就可以在这个CMD命令窗口中输入要运行的程序，例如：输入Compmgmt.msc，就以域管理员身份打开了计算机管理。/netonly 参数是指不在本地生成“zhangsan”的本地配置文件。
2、 2、CPAU是具有Runas功能的一个第三方程序，可以在该程序命令中指定域管理员的帐号和密码，这样可以避免CMD中输入命令，并且CPAU还支持把命令写入一个加密的文本文件中，再通过执行该文件文件来执行命令，保密程序更高了。
CPAU 用法：
CPAU -u 用户 [-p 密码] -ex “程序或命令” [参数]
用户 用于登录的用户名（一般指管理员）例：Domain\Domainadm
密码 用户的密码[密码]
程序或命令 要执行的程序或命令
参数:
-profile 使用本地登录配置文件代替网络登录
-localwithprofile –profile的别名
-lwp -profile的别名
-localwithoutprofile 使用本地登录但不加载配置文件
-lwop -localwithoutprofile的别名
-k 使用命令cmd /k 关闭打开的窗口
-c 程序执行完成后使用命令cmd /c 关闭打开的窗口
-pipepwd 指定传入密码的方法
-enc 为最终用户加密任务
-dec 解密任务
-file 指定创建或执行的文本文件
-wait 等待进程完成
-outprocexit 同-wait一起使用，使用 errorlevel参数来代替CPAU的错误提示
-cwd x 指定工作目录
-hide 新进程隐藏运行
-title x 指定命令窗口的标题
-crc file[,file,file] 这个参数允许在加密文件文件中加入CRC错误校验信息。当
CRC校验出错时，提醒所执行的文件不是要运行的文件，重新选择文件。
-nowarn 网络登录时不输出警告信息
示例1：
cpau -u joehome\joe -p logon -ex “perl cleanup.pl” -lwp
以joehome\joe用户运行脚本perl cleanup.pl。
示例2：
cpau -u joehome\joe -p logon -ex “perl cleanup.pl” -enc -file cleanup.job
把以joehome\joe用户运行脚本perl cleanup.pl 的命令写入cleanup.job中
示例3：
cpau -dec -file cleanup.job -lwp
执行命令文件nup.job
示例4：
cpau -u joehome\joe -p logon -ex “perl cleanup.pl” -wait -lwp
以joehome\joe用户运行脚本perl cleanup.pl并等待进程完成
示例5：
cpau -u joe -p logon -ex notepad.exe -lwp
以joee用户运行notepad.exe
示例6：
cpau -u joehome\joe -p logon -ex logonscript.cmd -lwp
在当前目录以joehome\joe 运行logonscript.cmd 。
示例7：
cpau -u joehome\joe -p logon -ex logonscript.cmd -lwp -cwd c:\temp
在目录c:\temp中以joehome\joe 运行logonscript.cmd 。
示例8：
cpau -u administrator -p password -ex notepad -file start_notepad.txt -enc
cpau -file start_notepad.txt –dec
说明一下：第一行命令把“cpau -u administrator -p password -ex notepad”加密写入文件
start_notepad.txt，第二行命令通过执行start_notepad.txt，来执行命令“cpau -u administrator
-p password -ex notepad”。
二、 二、介绍一下Xcacls.vbs脚本的功能及用法
要设置和使用 Xcacls.vbs，请按照下列步骤操作：
1. 1、从以下 Microsoft 网站获得 Xcacls.vbs 的最新版本：
http://download.microsoft.com/download/f/7/8/f786aaf3-a37b-45ab-b0a2-8c8c18b… (http://download.microsoft.com/download/f/7/8/f786aaf3-a37b-45ab-b0a2-8c8c18b…)
2. 2、双击“Xcacls_Installer.exe”。当提示您提供放置提取文件的位置时，请指定一个位于计算机的搜索路径设置中的文件夹（如 C:\Windows）。
3. 3、将默认脚本引擎从 Wscript 更改为 Cscript。（Xcacls.vbs 脚本最适合在 Cscript 下运行。）为此，请在命令提示符下键入以下内容，然后按 Enter：
cscript.exe /h:cscript
注意：将默认脚本引擎更改为 Cscript 只影响脚本向屏幕写入的方式。Wscript 根据“确定”对话框分别写入每一行。Cscript 将每一行写入命令窗口。如果您不想更改默认脚本引擎，则必须使用以下命令运行脚本
cscript.exe xcacls.vbs
但是，如果将默认脚本更改为 Cscript，则可以使用以下命令运行该脚本：
xcacls.vbs
4. Xcacls.vbs 命令的语法
Xcacls.vbs 目录或文件 /g 域名\域用户:权限;高级权限 参数 /e /t /c /R 用户 /D 用户: 权限;高级权限……
目录或文件名 [必须]单独使用该参数，列出目录或文件的权限
/f 改变所有文件的权限，不包括子目录，除非指定了/t，不能应用于目录；
/s 改变所有子目录的权限，不包括下面的文件，除非指定了/t，不能应用于目录；
/t 操作对指定文件夹下所有文件及文件夹有效。该参数不能应用于文件；
/e 编辑权限列表，增加权限，而不是用批定的权限代替权限列表；
/g 用户：权限;高级权限 指定要授予的用户，并授予指定的权限
权限：
F 完全控制
M 修改
X 读取执行
L 列出文件夹内容
R 只读
W 写入
特定权限（只用于文件）
F 完全控制
M 修改
X 读取执行
R 只读
W 写入
高级权限
D 取得所有权
C 更改权限
B 读取权限
A 删除
9 写入属性
8 读取属性
7 删除子文件夹文件
6 遍历文件夹/运行文件
5 写入扩展属性
4 读取扩展属性
3 创建文件夹/附加数据
2 创建文件/写入数据
1 列出文件夹/读取数据
/R 用户 把指定的用户从权限列表中移除
/D 用户：权限;高级权限 拒绝指定用户的权限（具体权限同/g 参数）
/O 用户 授予指定用户或组取得所有权
/I 参数 继承标志。缺省是不会继承权限的。
参数：
Enable 打开继承标志。
Copy 关闭继承标志，并复制权限。
Remove 关闭继承标志，不复制权限。
/L 文件名 指定记录命令执行情况的文本文件。指定的文件如果不在当前目录，
需包括路径，如果文件不存在，则创建该文件。文件存在，则把记录追加至
该文本文件。文件扩展名一般为“log”。
/Q 打开静默模式，该模式不会显示输出至屏幕。缺省是显示输出。
/Debug 打开调试模式，缺省关闭。将输出更多的信息。
/Server 计算机名 输入远程计算机名
/User 远程连接的用户名
/Pass 远程连接用户的密码
可以使用通配符：* ?
5. 下列 Xcacls.vbs 命令提供 Xcacls.vbs 用法的一些示例：
>xcacls.vbs c:\test\ /g domain\testuser1:f /f /t /e
该命令可编辑现有权限。它授予 Domain\TestUser1 完全控制 C:\Test 下所有文件的权限，遍历 C:\Test 下的子文件夹，然后更改找到的所有文件。该命令不触及目录。
xcacls.vbs c:\test\ /g domain\testuser1:f /s /l “c:\xcacls.log”
该命令可替换现有权限。它授予 Domain\TestUser1 完全控制 C:\Test 下所有子文件夹的权限，而且记录到 C:\Xcacls.log。该命令不触及文件，并且不遍历目录。
xcacls.vbs c:\test\readme.txt /o “machinea\group1”
该命令将自述文件的所有者更改为组 MachineA\Group1。
xcacls.vbs c:\test\badcode.exe /r “machinea\group1″ /r”domain\testuser1”
该命令撤消 MachineA\Group1 和 Domain\TestUser1 的 C:\Test\Badcode.exe 权限。
xcacls.vbs c:\test\subdir1 /i enable /q
该命令将打开文件夹 C:\Test\Subdir1 上的继承。该命令将取消任何屏幕输出。
xcacls.vbs serverashareztestpage.htm /p “domain\group2”:14
此命令通过使用 Windows Management Instrumentation (WMI) 远程连接到 ServerAShareZ。然后获取用于该共享的本地路径，在该路径下，它更改 Testpage.htm 上的权限。它原封保留 Domain\Group2 的现有权限，但是添加权限 1（读取数据）和权限 4（读取扩展属性）。该命令放弃此文件上的其他权限，原因是未使用 /e 开关。
xcacls.vbs d:\default.htm /g “domain\group2”:f /server servera /user
Servera\admin /pass password /e
该命令使用 WMI 作为 ServerA\Admin 远程连接到 ServerA，然后将Default.htm 上的完全权限授予 Domain\Group2。Domain\Group2 的现有权限丢失，但保留文件上的其他权限。
三、下面进入主题：在域普通用户环境下执行脚本Xcacls.vbs更改目录权限。
1、准备工作：准备一台加入域环境的计算机，创建一个域帐号Test。创建一个具有域管理员权限的用户Domainadm，其密码为123。在客户机上创建一个目录在d:\1，并创建几个文件，域名为Domain、把目录d:\1授予域用户Test完全控制权。
命令（以后的命令都是在CMD中输入）：
Runas /netonly /user:Domain\Domainadm “Cscript.exe //nologo \”.\xcacls.vbs\” d:\1 /g Domain\test:f /e /t”
说明：Runas命令运行的程序如果用参数应该用””括起来。注意引号里面的用法，\”.\xcacls.vbs\”这样使用的目录是把xcacls.vbs文件定位到当前目录，所以在打开CMD窗口后，要把路径切换至xcacls.vbs文件所在的目录，不能会出现找不到文件的错误。另外如果有的目录或用户名中间有空格，应用\” \”这样一对符号括起来，不然命令会执行失败。
3、把目录d:\1授予本地“Power users”组完全控制权。
Runas /netonly /user:Domain\Domainadm “Cscript.exe //nologo \”.\xcacls.vbs\” d:\1 /g \”BUILTIN\Power Users\”:f /e /t”
注意：Power Users组中间有空格，需用符号\” \”括起来，本地组应该使用BUILTIN ，就是这样的形式：\”BUILTIN\Power Users\”。
4、我把域用户Test用户加入本地“Power users”组，再把D盘授予本地“Power users”组完全控制权限，这样域用户Test就拥有了对本地D盘的完全控制权限。
把域用户Test加入本地“Power users”组的脚本：
把下面的代码写入一个文本文件中，并更名为“将域帐号加入本地Power组.VBS”
Dim NPCName,DUser
Set objnet = CreateObject (“WScript.Network”)
NPCName = InputBox (“当前的计算机名是：” & objnet.ComputerName,”输入目标计算机名”)
DUser = InputBox (“”,”输入域用户帐号名”)
strComputer = NPCName
Set objGroup = GetObject(“WinNT://” & strComputer & “/Power Users”)
Set objUser = GetObject(“WinNT://rybb/” & DUser)
objGroup.Add(objUser.ADsPath)
四、使用CPAU在域普通用户环境下执行脚本Xcacls.vbs更改目录权限。
示例1：把目录d:\1域授予用户Test完全控制权。
CPAU -u Domain\Domainadm –p 123 –ex “Cscript.exe //nologo \”.\xcacls.vbs\” d:\1 /g Domain\test:f /e /t /q” –lwop –wati –nowarn –enc –file ChangePower.job
CPAU –file ChangePower.job –dec
示例2：把目录d:\1授予本地“Power users”组完全控制权。
CPAU -u Domain\Domainadm –p 123 –ex “Cscript.exe //nologo \”.\xcacls.vbs\” d:\1 /g \”BUILTIN\Power Users\”:f /e /t /q” –lwop –wati –nowarn –enc –file ChangePower.job
CPAU –file ChangePower.job –dec
五、最后使用批处理和脚本做一个通用的批处理
批处理要求：把指定的域用户授予本地指定目录的完全控制权（指定权限感觉没有太大意义，不过要做还是还简单的，有兴趣的自己做下看）。
1、下面是我的批处理内容：（使用Runas实现）
“授予普通用户对目录的完全控制权限.cmd”的内容如下：
@echo off
Rem 输入域帐号名并赋值给变量Duser
set Duser=
set /p Duser=请输入域帐号名(例:Domain\Domainadm)：
Rem 输入目录路径并赋值给变量DPath
set DPath=
set /p DPath=请输入目录名称或直接把目录拖放至CMD窗口:
@echo off
Rem 获取当前路径并赋值给变量Upath
for /f “delims=” %%i in (‘cd’) do set Upath=%%i
Rem 使用用户Domain\Domainadm运行，授予用户Duser目录DPath的完全控制权。
Rem 采用静默方式运行，并把运行情况写入当前目录文件ChangePower.log中。
start /w runas /user:Domain\Domainadm “Cscript.exe //nologo \”.\xcacls.vbs\” %DPath% /g %DUser%:f /e /t /q /l %Upath%\ChangePower.log”
Rem 用记事本打开文件ChangePower.log
notepad.exe %Upath%\ChangePower.log
exit
2、使用CPAU实现该功能的批处理：
“授予普通用户对目录的完全控制权限.cmd”的内容如下：
@echo off
Rem 输入域帐号名并赋值给变量Duser
set Duser=
set /p Duser=请输入域帐号名(例:Domain\Domainadm)：
Rem 输入目录路径并赋值给变量DPath
set DPath=
set /p DPath=请输入目录名称或直接把目录拖放至CMD窗口:
@echo off
Rem 获取当前路径并赋值给变量Upath
for /f “delims=” %%i in (‘cd’) do set Upath=%%i
Rem 使用用户Domain\Domainadm运行，授予用户Duser目录DPath的完全控制权。Rem 采用静默方式运行，并把运行情况写入当前目录文件ChangePower.log中。
%Upath%\cpau -u rybb\tangzhigang -p heroes33 -ex “Cscript.exe //nologo \”.\xcacls.vbs\” %DPath% /g %DUser%:f /e /t /q /l %UPath%\ChangePower.log” -lwop -nowarn
Rem 用记事本打开文件ChangePower.log
notepad.exe %Upath%\ChangePower.log
exit
注意：使用上面的脚本时，如果是整个盘，如D盘，在输入路径时，要输入“D:”，而不能输入“D:\”。
本文为原创，转载请标明出处。——Longxiao
转载于:https://blog.51cto.com/lzy821218/307774
今天的文章域普通用户环境下执行脚本Xcacls.vbs更改目录权限分享到此就结束了，感谢您的阅读，如果确实帮到您，您可以动动手指转发给其他人。
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。
如需转载请保留出处：https://bianchenghao.cn/30885.html
