1. AccessChk工具简介与下载安装
微软AccessChk是一款强大的命令行工具，专门用于检查用户或用户组对Windows系统资源的权限。它能快速扫描文件夹、注册表和服务权限，是系统管理员进行安全审计的利器。要获取该工具，需访问微软官方下载页面，解压压缩包后将可执行文件放入系统PATH目录（如C:\Windows\System32）即可全局调用。
2. 创建测试环境：用户与文件夹配置
- 在Windows设置中创建两个测试账户：管理员账户”hello”和标准用户”test”。
- 在C盘新建Test文件夹，内含子文件夹Test1和文件test.txt。
- 通过文件夹属性的安全选项卡，为test用户设置”拒绝所有权限”，为hello用户授予”完全控制权限”。此步骤需注意：添加用户时需输入用户名后点击”检查名称”验证，权限设置后务必点击”应用”生效。
3. 基础权限检查：单目录与递归扫描
- 使用`accesschk -d test c:\test`命令可检查test用户对父目录的权限（-d参数表示不扫描子项），返回空白即无权限。
- 若需递归检查子项，去掉-d参数运行`accesschk test c:\test`，结果将显示所有子目录和文件的权限状态。
- 对比测试hello用户时，会显示”RW”（读写权限），验证权限配置成功。
4. 实战验证与权限冲突处理
- 切换到test账户尝试访问C:\Test时，系统会提示”无权访问”，点击继续需要管理员凭据，这与accesschk检测结果一致。
- 若遇到权限冲突，建议：
1. 使用管理员账户重新检查权限继承关系
2. 确认没有组策略限制
3. 检查父目录是否设置了强制权限继承
5. 高级应用场景与总结
- AccessChk还可用于检查注册表（参数`-k`）和服务（参数`-w`）权限。例如`accesschk -k test hklm\software`可检查用户对注册表项的权限。
- 该工具特别适合：
– 快速定位权限配置问题
– 批量审计多用户权限
– 验证安全策略实施效果
建议将常用命令保存为批处理文件，提升日常管理效率。