檔案與資料夾權限對照表

權限	檔案操作	資料夾額外權限
讀取 (R)	讀取檔案、檢視屬性、擁有者、權限	列出資料夾內容
寫入 (W)	覆寫檔案、變更屬性、檢視擁有者、權限	建立檔案/子資料夾
讀取與執行 (RX)	含讀取權限，另可執行檔案	遍歷資料夾、執行程式
修改 (M)	含寫入+讀取執行，另可修改、刪除檔案	含上述，另可刪除子項目
完全控制 (F)	含修改，另可變更權限、取得擁有權	含修改，另可變更權限、取得擁有權

宏觀 ACE 與 ACL 評估邏輯

每個針對使用者/群組的權限設定（宏觀 ACE）最終寫入安全描述元的 DACL（任意存取控制清單）。當 DACL 包含多個 ACE 時，依下列三原則決定有效權限：

1. 群組權限累加： 使用者屬於多個群組時，允許權限累加。
2. 檔案優於資料夾： 明確設定於檔案的權限覆蓋繼承自父資料夾的權限。
3. 拒絕優先： 明確拒絕絕對優先於任何允許權限。

案例推演

• Everyone 僅讀 → 隱含拒絕完全控制。Administrator 屬於 Everyone，依原則 3 僅得「讀取」。
• 再給 Administrators 群組「完全控制」→ Administrator 同時屬於兩群組，依原則 1 累加獲得「完全控制」。

實務中靈活套用三原則，可做出有利安全的決策。

檢視 DACL / SACL

物件右鍵→「內容」→「安全性」→「進階」：

• 「權限」頁 = DACL
• 「稽核」頁 = SACL (系統存取控制清單)

擁有權移轉實戰

情境：USER001 建立機密檔案並獨享完全控制，離職後公司需存取。

1. 以管理員登入，開啟「進階安全性設定」→「擁有者」頁。
2. 勾選「取代子容器與物件的擁有者」→「套用」。
3. 擁有權轉移後，於「安全性」頁重新設定 ACL 即可存取。

只有 Administrators 群組成員具備取得擁有權權限，操作會留下稽核軌跡。