Windows中无法为磁盘分区直接配置独占安全描述符，正确做法是对NTFS卷根目录设置ACL：禁用继承、移除Everyone/Users等泛化主体、仅授予指定用户完全控制权，并可选设所有权锁定。
windows 中无法通过 diskpart 或其他原生命令行工具为整个磁盘分区（volume） 直接配置“独占安全描述符”（exclusive security descriptor）——这不是 diskpart 的功能范畴，也不符合 windows 安全模型的设计逻辑。
真正可操作、且符合“专属权限控制”的路径是：对分区挂载的卷（即驱动器号或挂载点）下的根目录设置 NTFS 权限（ACL），并移除继承、清除无关主体、仅保留指定用户/组的完全控制权。这在效果上等同于实现“该卷仅供特定账户访问”的独占访问控制。
以下是具体、安全、可执行的操作步骤：
1. 确保目标卷使用 NTFS 文件系统
diskpart 创建或格式化时必须指定 fs=ntfs：
format fs=ntfs quick label="SecureData"
若已存在 FAT32/exFAT 卷，需先备份数据，再用 convert D: /fs:ntfs 转换（注意：convert 不支持 exFAT → NTFS）。
2. 清除继承权限并重置根目录 ACL
以管理员身份运行命令提示符或 PowerShell，执行：
icacls D:\ /inheritance:d // 禁用继承（保留现有权限） icacls D:\ /remove:g Everyone // 移除 Everyone 组 icacls D:\ /remove:g Users // 移除 Users 组（可选，视策略而定） icacls D:\ /grant "DOMAIN\Alice":(F) // 仅授予 Alice 完全控制权（F = Full） icacls D:\ /grant Administrators:(F) // 通常保留管理员权限用于维护
✅ 关键说明：
D:\是卷的根路径（不是盘符本身，而是其挂载点）；(F)表示 Full Control；也可用(CI)(OI)F实现“容器继承+对象继承+完全控制”，确保子目录/文件自动获得相同权限；- 若需彻底排除系统账户（如 SYSTEM），可追加
/remove:g SYSTEM，但不建议移除 SYSTEM，否则可能导致系统服务（如 Windows Search、Defender）无法索引或扫描该卷。
3. 验证权限是否生效
icacls D:\
输出中应仅显示你明确授予的用户/组，且无 BUILTIN\Users、Everyone 等泛化主体；每行末尾应标有 :(CI)(OI)(F) 或类似标识。
4. （可选）禁用卷的“所有者更改”与“权限修改”能力
若需进一步强化独占性（例如防本地管理员意外修改），可将所有权强制设为指定用户，并锁定：
takeown /f D:\ /r /d y // 将 D:\ 及全部子项所有权赋予当前用户（需提前用 runas 切换至目标用户，或配合 /u 参数） icacls D:\ /setowner "DOMAIN\Alice" /t
⚠️ 注意：takeown + icacls /setowner 后，非该用户将无法再修改 ACL —— 包括管理员，除非先取得所有权。
以上操作本质是在 NTFS 层面对卷根目录实施最小权限原则，而非给“分区”本身加锁（分区是磁盘结构概念，无 ACL）；Windows 不提供、也不支持为 volume 对象直接附加安全描述符——那是对象管理器（Object Manager）层面的内核对象权限，普通用户不可控，也不应干预。
不复杂但容易忽略：权限生效依赖 NTFS，且仅对本地登录/网络访问中的文件级操作起作用；它不能阻止 BitLocker 解密后挂载、也不能阻止物理接管硬盘后在其他系统中读取。如需更强隔离，请结合 BitLocker 加密 + TPM + 用户证书绑定。
