雙重權限模型

NTFS 分區下，實際生效權限 = 共享權限 ∩ NTFS 權限（取交集，最嚴格者優先）。

實戰案例：CCE 資料夾給 cceuser 讀寫權限

步驟 1：共享權限設定

1. 資源管理器 → CCE 右鍵 → 內容 → 共用標籤 → 權限
2. 新增 cceuser → 勾選「完全控制」 → 確定

步驟 2：NTFS 安全性設定

1. 同一內容視窗 → 安全性標籤 → 新增 cceuser
2. 勾選：讀取與執行、列出資料夾內容、讀取、修改、寫入
3. 「完全控制」不建議給予一般使用者（含刪除子檔案/變更權限）

權限矩陣對照

操作	讀取/執行	列出內容	讀取	寫入	修改	完全控制
瀏覽資料夾	✓	✓				✓
讀取檔案	✓		✓			✓
新增檔案				✓	✓	✓
修改檔案					✓	✓
刪除檔案						✓
變更權限						✓

最佳實務原則

1. 最小權限原則：只給完成工作所需的最低權限
2. 群組授權：建立域/本地群組 → 將使用者加入群組 → 授權給群組
3. 避免 Everyone/Users 完全控制：預設安裝常過度授權
4. 定期稽核：啟用「稽核物件存取」，定期檢視安全性事件日誌
5. 繼承管理：善用繼承簡化管理，特殊需求再「停用繼承→複製/移除」

常見錯誤與修正

錯誤做法	風險	修正
共享給 Everyone 完全控制	任何人可讀寫刪除	共享給 Authenticated Users 讀取/變更，再用 NTFS 精細控制
只設共享權限、忽略 NTFS	FAT32 分區無 NTFS 保護	強制轉換 NTFS (convert /fs:ntfs)
給予修改權限而非讀寫	使用者可刪除檔案	視需求拆分：只需讀寫不需刪除時，給「讀取+寫入」不給「修改」

結語

共享資料夾安全 = 共享權限（網路進入大門）+ NTFS ACL（檔案系統守門員）。雙重把關、最小授權、群組管理、持續稽核，才是企業級檔案共享的正確姿勢。