Windows 2000 資源工具包內建的 Subinacl.exe 是一款強大的 ACL（存取控制清單）管理工具，支援服務、登錄、檔案、目錄、共用資料夾、印表機等物件的權限檢視、修改、遷移與稽核。善用此工具可大幅簡化權限管理作業。

核心參數說明

參數	功能	備註
/view_mode	設定顯示資訊詳細程度	verbose=1 或 2（預設），2 顯示大部分資訊
/test_mode	測試模式，不實際修改系統	建議正式操作前先測試驗證
object_type	指定操作的物件類型	服務、登錄機碼/子機碼、檔案、目錄、共用、印表機等，必填
/action	指定執行動作	display、replace、changedomain、migratetodomain、findsid、grant、deny、revoke、accesscheck、ifchangecontinue 等

實務應用場景

1. 服務權限稽核與修正

subinacl /service "W3SVC" /display=DACL

顯示 IIS 發佈服務的 DACL，可檢查是否有過度授權帳號。

2. 登錄機碼權限遷移（網域帳號變更）

subinacl /subkeyreg HKEY_LOCAL_MACHINE\Software\MyApp /changedomain=OLD_DOMAIN=NEW_DOMAIN

將指定登錄路徑下舊網域帳號的 ACE 遷移至新網域帳號，適用於網域重組或帳號遷移。

3. 檔案系統權限批次授與

subinacl /file D:\Data\*.* /grant=DOMAIN\Group=F

遞迴授予網域群組對資料目錄的完全控制權限。

操作建議

• 正式環境操作前，務必先以 /test_mode 模擬執行，確認影響範圍。
• 備份原始 ACL 設定（可用 /display 輸出存檔），以便異常時回覆。
• 搭配批次檔或排程任務，實現大規模伺服器的權限標準化部署。

輸入 subinacl /help /full 可取得完整參考手冊。Subinacl 雖為命令列工具，但功能強大且可腳本化，是系統管理員進行權限管理與稽核的得力助手。