Asi to vypadá tak, že si nejdřív vyexportuju SID local groups na W2003
gwmi win32_group -Filter "localaccount=true and not sid like 'S-1-5-32-5__'" | select caption,sidReinstaluju server, naimportuju groups.
Vyjedu si nový SID.
Ty hodím do hash table "caption,stareSID,noveSID"
.. a pak přes kombinaci get-childitem, foreach, get-acl bych mohl zaměnit security deskriptory u jednotlivých souborů