全新重新安装Windows后，如何将旧用户的SID绑定到新用户以保留NTFS文件所有权和权限？

每次我们重新安装Windows时，即使用户名与以前一样，它也会为用户创建一个新的SID 。

// example (not real SID format, just show the problem)
user   SID
--------------------
liuyan S-old-501    // old SID before reinstall
liuyan S-new-501    // new SID after  reinstall

重新安装后的烦人问题是NTFS文件的所有权和硬盘驱动器上的权限仍与旧用户的SID相关联。

我想保留NTFS文件的所有权和权限设置，然后让新用户使用旧用户的SID，以便我可以像以前一样访问文件而没有权限问题。

该cacls命令行工具不能在这样的情况下使用，因为该文件不属于新用户，所以它会失败的访问被拒绝的错误。而且它不能更改所有权。

即使我可以通过SubInACL工具更改cacls权限，也不能删除旧用户的权限，因为新安装中不存在旧用户，也无法将旧用户的权限复制到新用户。

那么，我们可以在新安装的Windows上简单地将旧用户的SID绑定到新用户吗？

样品测试批次

@echo off
REM Additional tools used in this script
REM PsGetSid http://technet.microsoft.com/en-us/sysinternals/bb897417
REM SubInACL http://www.microsoft.com/en-us/download/details.aspx?id=23510
REM
REM make sure these tools are added into PATH

set account=MyUserAccount
set password=long-password
set dir=test
set file=test.txt

echo Creating user [%account%] with password [%password%]...
pause
net user %account% %password% /add
psgetsid %account%
echo Done !

echo Making directory [%dir%] ...
pause
mkdir %dir%
dir %dir%* /q
echo Done !

echo Changing permissions of directory [%dir%]: only [%account%] and [%UserDomain%\%UserName%] has full access permission...
pause
cacls %dir% /G %account%:F
cacls %dir% /E /G %UserDomain%\%UserName%:F
dir %dir%* /q
cacls %dir%
echo Done !

echo Changing ownership of directory [%dir%] to [%account%]...
pause
subinacl /file %dir% /setowner=%account%
dir %dir%* /q
echo Done !

echo RunAs [%account%] user to write a file [%file%] in directory [%dir%]...
pause
runas /noprofile /env /user:%account% "cmd /k echo some text %DATE% %TIME% > %dir%\%file%"
dir %dir% /q
echo Done !

echo Deleting and Recreating user [%account%] (reinstall simulation) ...
pause
net user %account% /delete
net user %account% %password% /add
psgetsid %account%
echo Done ! %account% is recreated, it has a new SID now

echo Now, use this "same" account [%account%] to access [%dir%], it will failed with "Access is denied"
pause
runas /noprofile /env /user:%account% "cmd /k cacls %dir%"
REM runas /noprofile /env /user:%account% "cmd /k type %dir%\%file%"
echo Done !

echo Changing ownership of directory [%dir%] to NEW [%account%]...
pause
subinacl /file %dir% /setowner=%account%
dir %dir%* /q
cacls %dir%
echo Done ! As you can see, "Account Domain not found" is actually the OLD [%account%] user

echo Deleting user [%account%] ...
pause
net user %account% /delete
echo Done !

echo Deleting directory [%dir%]...
pause
rmdir %dir% /s /q
echo Done !

您可以使用setacl用新的替换孤立的SID。例如，使用以下命令将旧的SID替换为新的SID：

setacl.exe -on C:\ 
           -ot file 
           -actn trustee -trst "n1:S-old-501;n2:S-new-501;ta:repltrst" 
           -rec cont

1. 没有支持的方法来更改计算机的SID或更改本地帐户的SID，以使其与计算机的SID不匹配。

2. 问题的措辞意味着您将频繁地重新安装操作系统，而无需这样做。如果您遇到了需要重新安装的重复问题，那么值得找出导致它们的原因，而不是每次都重新安装。

3. 某些组使用众所周知的SID，这意味着在重新安装计算机时它们不会更改。因此，可以通过提前选择权限以使他们使用这些组来简化问题。其中一些有用的组包括管理员，高级用户，用户，已验证用户和交互。

4. 重置整个文件夹树权限的一种慢速但简便的方法是复制它：

   robocopy /e /b c:\original-folder c:\new-copy
   

   必须从提升的命令提示符下运行。使用/ b选项可使robocopy使用还原特权来绕过文件的安全性。c:\new-copy在开始之前创建并根据需要设置权限。

   复制原始文件夹后，可以使用以下命令将其删除：

   robocopy /e /b c:\empty-folder c:\original-folder