如何把注册表权限的勾去掉

[蒙飞鸿]

最近做修改注册表权限.
BuildExplicitAccessWithName(&eia,"Administrators",KEY_ALL_ACCESS,NOT_USED_ACCESS,SUB_CONTAINERS_AND_OBJECTS_INHERIT);
这个函数第3个参数为SET_ACCESS的话,会给允许打上勾,为DENY_ACCESS的时候,会给拒绝打上勾.
怎么把允许和拒绝都勾都去掉呢?试了几个ACCESS_MODE都没成功,求助!

以上就是我的问题了,
顺便说一个试出的知识:如果该注册表项权限是继承的,那么可能会有些勾是灰.的通过SetNamedSecurityInfo第3个参数或上一个参数"|PROTECTED_DACL_SECURITY_INFORMATION"就能去掉继承了,也就是使勾不灰了.

[arong1234]

我记得权限只有允许/禁止和继承父节点三种吧，都去掉你要达到什么效果？

[蒙飞鸿]

[Quote=引用 1 楼 arong1234 的回复:]
我记得权限只有允许/禁止和继承父节点三种吧，都去掉你要达到什么效果？
[/Quote]
手工操作的话,对于某用户(组),是可以不继承,也同时不选允许和拒绝的.

[arong1234]

我想，都去掉的效果就是你不加这个administrator吧？你加了一个帐户上去，要么给他权限，要么拒绝权限，不可能啥都不做的

[Dreadnought]

都去掉感觉不太现实吧

[蒙飞鸿]

我想去掉完全控制的两个勾,勾读取的允许.

[蒙飞鸿]

某个用户(组)可以设置3种权限:完全控制、读取和特别的权限。我想把完全控制的两个勾去掉，勾上读取的允许，特别的权限无所谓。
这在手工操作上是可行的，现在想通过程序来写，看起来ACCESS_MODE里面的REVOKE_ACCESS比较符合，但用了以后没见有效。

[arong1234]

我记得你只加上只读的，不管full control的，就是这样了。[Quote=引用 6 楼 mengfeihong 的回复:]
某个用户(组)可以设置3种权限:完全控制、读取和特别的权限。我想把完全控制的两个勾去掉，勾上读取的允许，特别的权限无所谓。
这在手工操作上是可行的，现在想通过程序来写，看起来ACCESS_MODE里面的REVOKE_ACCESS比较符合，但用了以后没见有效。
[/Quote]

[蒙飞鸿]

[Quote=引用 7 楼 arong1234 的回复:]
我记得你只加上只读的，不管full control的，就是这样了。

引用 6 楼 mengfeihong 的回复:
某个用户(组)可以设置3种权限:完全控制、读取和特别的权限。我想把完全控制的两个勾去掉，勾上读取的允许，特别的权限无所谓。
这在手工操作上是可行的，现在想通过程序来写，看起来ACCESS_MODE里面的REVOKE_ACCESS比较符合，但用了以后没见有效。
[/Quote]
不是的，使用KEY_READ和SET_ACCESS的组合，完全控制的勾也会自动勾上

[蒙飞鸿]

上代码：
int modifyKeyAccess(LPSTR lpKey,LPSTR lpUser)
{
LPSTR KeyName = lpKey; //要修改的项路径

PACL pOldDacl=NULL;
PACL pNewDacl=NULL;
DWORD dRet;
EXPLICIT_ACCESS eia;
PSECURITY_DESCRIPTOR pSID=NULL;
dRet = GetNamedSecurityInfo(KeyName,SE_REGISTRY_KEY,DACL_SECURITY_INFORMATION,NULL,NULL,&pOldDacl,NULL,&pSID);// 获取SAM主键的DACL
if(dRet !=ERROR_SUCCESS)
{
if (pOldDacl)LocalFree(pOldDacl);
if(pNewDacl)LocalFree(pNewDacl);
if(pSID)LocalFree(pSID);
return 0;
}
//SetSecurityDescriptorControl(pOldDacl,SE_DACL_PROTECTED,SE_DACL_PROTECTED);
//创建一个ACE,允许Administrators组成员完全控制对象,并允许子对象继承此权限
ZeroMemory(&eia,sizeof(EXPLICIT_ACCESS));
BuildExplicitAccessWithName(&eia,lpUser,KEY_ALL_ACCESS,REVOKE_ACCESS,SUB_CONTAINERS_AND_OBJECTS_INHERIT);
// 将新的ACE加入DACL
dRet = SetEntriesInAcl(1,&eia,pOldDacl,&pNewDacl);



if(dRet!=ERROR_SUCCESS)
{
if (pOldDacl)LocalFree(pOldDacl);
if(pNewDacl)LocalFree(pNewDacl);
if(pSID)LocalFree(pSID);
return 0;
}
// 更新键的DACL
dRet = SetNamedSecurityInfo(KeyName,SE_REGISTRY_KEY,DACL_SECURITY_INFORMATION|PROTECTED_DACL_SECURITY_INFORMATION,NULL,NULL,pNewDacl,NULL);



if(dRet!=ERROR_SUCCESS)
{
if (pOldDacl)LocalFree(pOldDacl);
if(pNewDacl)LocalFree(pNewDacl);
if(pSID)LocalFree(pSID);
return 0;
}
//释放DACL和SID
if (pOldDacl)LocalFree(pOldDacl);
if(pNewDacl)LocalFree(pNewDacl);
if(pSID)LocalFree(pSID);
return 0;

}

[蒙飞鸿]

现在只能DENY_ACCESS去掉KEY_WRITE，能够做到不能修改注册表该项，但在REGEDIT界面里，完全控制的勾还是存在，感觉效果不完美。
希望这贴别到此为止了。。

[wodexiaobaitu]

哥们，你要的这种功能我实现了，不知道，我的QQ916033324，但是我想实现注册表的权限的随意转换，你有方法吗？

[wodexiaobaitu]

你说的这种，我已经实现，我的QQ916033324，现在就是实现了就回不去，或者注册表的权限我无法随即转换，即使是管理员的权限也不行

[wodexiaobaitu]

你说的这种，我已经实现，我的QQ916033324，现在就是实现了就回不去，或者注册表的权限我无法随即转换，即使是管理员的权限也不行

[雪域红狼]

你的代码SetNamedSecurityInfo调用的时候能成功？应该报错误5吧？