必须通过NTFS权限精确控制敏感文件夹访问：一、先获取所有权并替换子项；二、禁用继承并清除旧权限；三、仅添加目标管理员并授予读取、写入、修改等必要权限，禁用“完全控制”；四、显式拒绝Administrators组的读取类权限。

要让敏感配置文件夹只被特定管理员访问，不能靠“右键属性→只读”这种表面设置，必须深入ntfs权限层，切断默认继承、清除无关账户、精准授权目标管理员，并阻断其他高权限组（如administrators）的隐性访问。核心是“最小权限+显式控制”，不是简单勾选。

一、先拿回所有权，否则无权改权限

很多敏感文件夹默认归SYSTEM或原创建者所有，即使你是管理员，也可能被拒绝编辑权限。必须先取得控制权：

• 右键文件夹→属性→安全→高级→所有者→点击“更改”
• 输入你自己的管理员账户名（例如DOMAIN\Admin1或PCNAME\Administrator），点“检查名称”确认
• 勾选“替换子容器和对象的所有者”，确保整个文件夹及内部所有子项都归属你
• 点击应用→确定

二、禁用继承，清空旧权限

如果不切断继承，父文件夹或组策略可能悄悄把Administrators、Users甚至Everyone的权限带进来，导致“只给A，结果B也能进”。这一步不可跳过：

Windows TTS (WSL2)

在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。

下载

• 仍在高级安全设置窗口，点击“禁用继承”
• 选择“从此对象中删除所有已继承的权限”
• 确认后，权限列表应为空白——这是干净起点

三、仅添加指定管理员，授予精确权限

现在白纸上作画：只加你要放行的人，只给真正需要的权限：

• 点击“添加”→“选择主体”，输入目标管理员账户（如DOMAIN\SecAdmin）
• 在基本权限中，勾选：读取和执行、列出文件夹内容、读取、写入、修改
• 如果该管理员还需重命名、移动或删除文件，则额外勾选删除和删除子文件夹及文件
• 切勿勾选“完全控制”——它包含修改权限本身的能力，会削弱后续管控
• 点击确定保存

四、显式拒绝其他高风险组（关键加固）

即使没主动加Administrators组，某些系统策略或安装行为仍可能让它拥有隐性访问权。最稳妥方式是主动拒绝：

• 再次点击“添加”，输入Administrators（或BUILTIN\Administrators）
• 切换到“拒绝”选项卡（不是“允许”）
• 勾选读取、读取和执行、列出文件夹内容——三项全选
• 点击确定。拒绝权限优先级高于允许，能彻底封死该组访问路径