Windows 2000 引入 NTFS 權限機制，可對檔案、資料夾實施精細的存取控制，這是 FAT/FAT32 所不具備的。本文說明 NTFS 分區前提、ACL 與 SID 概念、具體設定步驟，並針對多重權限累加、拒絕優先等易混淆重點詳細解析。

前置條件：必須為 NTFS 分區

若為 FAT/FAT32，可用 convert x: /fs:ntfs 轉換（不可逆）。注意：Win98 無法識別 NTFS，雙系統環境需謹慎評估。

核心概念：ACL 與 SID

• ACL (Access Control List)：記錄獲准存取資源的使用者、群組、電腦帳號。
• SID (Security Identifier)：每個帳號建立時隨機產生的唯一識別碼。系統依 SID 而非帳號名稱判斷身分；刪除帳號後重建同名帳號，SID 不同，原權限失效，須重設。

實作範例：對檔案 FILE 設定差異權限

1. 右鍵 FILE → 內容 → 安全性。
2. 取消「允許繼承自父代的權限」，選「移除」清空現有項目。
3. 新增 USER1，勾選「完全控制」。
4. 新增 USER2，僅勾選「讀取」。
5. 新增 USER3，勾選「修改」，進「進階」→「檢視/編輯」取消「刪除」權限。

驗證：USER1 可任意操作；USER2 僅能開啟，存檔提示錯誤；USER3 可讀寫但無法刪除。

資料夾權限補充：繼承選項

設定資料夾時可勾選「重設所有子物件權限並啟用可繼承權限傳播」，使設定遞歸套用至子資料夾與檔案。

重點難點：多重 NTFS 權限計算

1. 權限累加

使用者有效權限 = 個人權限 ∪ 所屬群組權限。例如：USER1 屬 GROUP1，USER1 有「讀取」，GROUP1 有「寫入」→ USER1 同時具備讀取與寫入。

2. 「拒絕」優先於「允許」

若使用者或其群組被明確「拒絕」某權限，則該權限無效，無論是否有「允許」項目。

3. 明確指派優於繼承

直接在物件上設定的權限（明確權限）優先於從父代繼承而來的權限。

4. 權限生效判斷流程

1. 收集使用者及其群組的所有明確允許/拒絕權限。
2. 收集繼承而來的允許/拒絕權限。
3. 合併並移除重複項，若同一權限同時有允許與拒絕，拒絕生效。
4. 最終結果即為有效權限。

建議：未熟悉權限操作前，先以測試檔案練習，避免誤刪重要資料。