Разрешения NTFS, добавленные из командной строки создание защищенной корневой папки

у меня есть 2 типа групп-только для чтения и чтения-записи-с номером в папке:

GROUP1_RO
GROUP1_RW
GROUP2_RO
GROUP2_RW
(...)

Я хотел бы создать такое дерево каталогов:

SHARE
|-MAIN_FOLDER1
| |-SUBFOLDERS
| |-FILES
|
|-MAIN_FOLDER2
| |-SUBFOLDERS
| |-FILES
|
|-MAIN_FOLDER3
(...)

каждая группа имеет доступ к своей собственной папке MAIN_FOLDER* и group _RO может только читать файлы, но _RW может создавать папки, удалять папки и файлы.

Я хочу защитить MAIN_FOLDERS* от случайного удаления этим _RW пользователей.

основная цель состоит в том, чтобы создать набор команд batch / cli, которые подготовят это папки по одному с точными правами.

попытался сделать это с icacls, но у меня были проблемы с несколькими правами ( недопустимые параметры ).

Я сделал это вручную, установив такие права:

    a) Enter Properties > Security > Advanced > Edit...
    b) Uncheck "Include inheritable permissions from this object's parent" and choose "Remove"
    c) Add group GROUP1_RO ( RO ) and set permissions:

            + Allow (( This Folder, subfolders and files ))

            * Traverse Folder / execute file
            * List folder / read data
            * Read attributes
            * Read extendet attributes
            * Read permissions

            - Deny

            * Delete

    e) Add group GROUP1_RW ( RW ) and set permissions:

            + Allow (( This Folder, subfolders and files ))

            * Full control
            - uncheck Take ownership

            - Deny

            * Delete

но устанавливать это все вручную для множества подпапок болезненно.
Есть ли способ настроить это icacls ( или что-то еще ) с разными группами?

приветствия и спасибо,
Mike