為何選 NTFS？
FAT/FAT32/exFAT **無任何存取控制**，掛載即全權存取。NTFS 引入 **ACL (Access Control List)**，每個物件 (檔案/目錄/註冊表鍵/進程/埠) 擁有：
- DACL (Discretionary ACL)：允許/拒絕 ACE (Access Control Entry)，精確到使用者/群組 + 權限類型 (Full Control/Modify/Read & Execute/List Folder/Read/Write/Special Permissions)。
- SACL (System ACL)：審核成功/失敗存取嘗試，餵養 SIEM/稽核日誌。
- Owner：物件擁有者，預設為建立者，擁有「變更權限」與「取得所有權」隱含權限。
圖形介面操作三步驟
- 右鍵檔案/資料夾 → 「內容」→ 「安全性」頁籤。
- 「編輯」→ 「新增」使用者/群組 → 勾選所需權限 (建議遵循最小權限：一般使用者 **讀取/執行**，開發 **修改**、管理員 **完全控制**)。
- 「進階」→ 「稽核」頁籤 → 新增審核項目 (如 Everyone 完全控制 失敗) → 「所有者」頁籤 → 變更擁有者 (需「取得所有權」特權)。
進階實務技巧
- 繼承控制：停用繼承並轉換為明確權限，避免父目錄權限變更意外影響敏感子目錄。
- 存取權限條件式運算式 (Windows Server 2012+)：動態存取控制 (DAC) 依裝置宣告/使用者屬性/資源屬性自動授權 (如：僅允許加入域且啟用 BitLocker 的裝置存取機密資料夾)。
- 命令列批次管理：
icacls (取代 cacls) 支援完整 ACE 操作、備份還原 ACL、強制繼承重置。
範例：icacls "D:\Data" /grant "Domain Users:(OI)(CI)(RX)" /inheritance:e /T
- 移動/複製行為差異：同磁區移動保留原 ACL；跨磁區/複製繼承目標父目錄 ACL。部署腳本需顯式重設。