必须采用AGDLP模型与“共享放开、NTFS管死”策略：权限仅授安全组而非用户，共享权限设为Everyone完全控制，所有精细控制由禁用继承的NTFS权限实现，并启用ABE提升访问体验。
windows 文件服务器权限设计不能靠经验凑，得有结构、有规则、有边界。核心是用好 ntfs 权限 + active directory 组 + 共享配置三者的协同，避免“everyone 完全控制”这类高危操作，也别把权限直接绑到单个用户身上。
用组代替用户分配权限
所有权限都应授予安全组，而不是具体用户账户。推荐采用 AGDLP 原则：账户（User）→ 全局组（Global Group，按部门/角色建）→ 域本地组（Domain Local Group，按资源建）→ 权限（Permission）。例如：
- 创建全局组 GG_Finance_Users，把财务部所有员工加进去
- 创建域本地组 DL_FinanceShare_ReadWrite，并把 GG_Finance_Users 加入其中
- 在财务共享文件夹的 NTFS 权限中，只给 DL_FinanceShare_ReadWrite 分配“修改”权限
这样人员变动只需调整组成员，无需反复改 ACL；权限变更也只需改一次组权限，自动生效到所有成员。
共享权限与 NTFS 权限配合使用
共享权限（Share Permission）和 NTFS 权限独立存在，最终生效的是两者中最严格的那个。标准做法是：
- 共享权限统一设为 Everyone — 完全控制（仅用于网络通道放行，不构成实际风险）
- 所有访问控制逻辑全部落在 NTFS 权限上
- 对每个部门子文件夹禁用继承，手动设置显式权限，确保不会因父级改动意外开放权限
这种“共享放开、NTFS 管死”的方式，既简化了共享层管理，又保障了真正的访问粒度。
按最小权限原则分层授权
不同角色需要的权限天然不同。不要一刀切给“读取/写入”，而是结合工作流细化：
- 普通员工：通常只需 读取 + 写入 + 删除自己创建的文件（可用“修改”权限，但需配合“删除子文件夹及文件”权限的精细控制）
- 部门主管：可额外增加 更改权限 和 取得所有权，便于日常管理
- IT 或审计人员：单独建只读组，启用 遍历文件夹 / 列出文件夹内容，方便巡查但无法修改
特别注意：避免赋予“完全控制”，除非是备份账号或极少数运维账户；“删除”和“更改权限”这两项要谨慎开启。
启用基于访问的枚举（ABE）提升体验
当多个部门共用一个共享根目录时，用户登录后默认能看到所有子文件夹名（哪怕没权限打开），这既暴露组织结构，也影响效率。开启 ABE 后，用户只会看到自己有至少“列出内容”权限的文件夹：
- 在共享属性 → “高级共享” → “权限”中确认已设好基础权限
- 在服务器管理器 → 文件和存储服务 → 共享 → 右键对应共享 → “属性” → 勾选 基于访问的枚举
- 无需重启服务，客户端下次刷新即可生效
这项功能不改变权限本身，但让界面更干净、信息更收敛，是专业部署的标配细节。
