要让特定安全组对共享文件夹拥有完全控制权限，必须同时配置共享层权限和NTFS安全权限，二者缺一不可；仅设其一会导致“能看到但打不开”或“能连接但无法写入”，实际访问权限为两者交集。

要让特定安全组对共享文件夹拥有完全控制权限，必须同时配置**共享层权限**和**NTFS安全权限**，二者缺一不可。Windows 的实际访问权限是两者的交集，只设其中一项会导致“能看到但打不开”或“能连接但无法写入”。

创建并确认安全组存在

若尚未建立专用安全组，需先在本地或域环境中创建：

• 在域环境中：使用“Active Directory 用户和计算机”新建安全组（如 ShareAdmins），将目标用户加入该组。
• 在工作组电脑上：打开 compmgmt.msc → “本地用户和组” → “组” → 右键新建组，勾选“安全组”，添加成员。
• 确保该组名称不含空格和特殊字符，便于后续输入时准确识别。

设置高级共享权限（网络入口控制）

这一步决定谁可以通过 \计算机名共享名 访问该共享，以及初始允许的操作范围。

• 右键目标文件夹 → “属性” → “共享”选项卡 → 点击“高级共享”。
• 勾选“共享此文件夹”，填写简洁共享名（如 ProjectSecure）。
• 点击“权限” → “添加” → 输入安全组名称（如 ShareAdmins），点击“检查名称”确认后添加。
• 选中该组，在下方权限中仅勾选完全控制（不勾选“读取”或“更改”单独项，直接选“完全控制”即可覆盖）。
• 点击“确定”逐层保存。

同步配置NTFS安全权限（文件系统级控制）

共享权限只管“能不能连进来”，NTFS权限才真正决定“能不能读、写、删、改”。必须为同一安全组授予对应NTFS权限。

• 仍在该文件夹“属性”窗口中，切换到“安全”选项卡 → 点击“编辑” → “添加”。
• 输入安全组名称（ShareAdmins），确认添加。
• 选中该组，在“允许”列中勾选：完全控制（会自动勾选所有子项：修改、读取和执行、列出文件夹内容、读取、写入）。
• 确保“应用于”下拉菜单选择的是“该文件夹、子文件夹和文件”（避免权限仅作用于顶层）。
• 点击“确定”保存。

验证与注意事项

完成设置后，建议用组内成员账户从另一台设备测试访问：

• 访问路径应为 \目标计算机名ProjectSecure，而非本地路径。
• 若提示“拒绝访问”，请检查：
    – 客户端登录账户是否确属该安全组；
    – 目标计算机是否启用网络发现与文件共享；
    – 是否关闭了“密码保护的共享”（如启用，则客户端需提供匹配的本地账户凭据）。
• 不推荐使用 Everyone 或 Guest，既不符合最小权限原则，也容易引发审计风险。