前言
正確設定 NTFS 權限 (ACL) 是保護伺服器資料安全的基石。本文以 ASP 應用環境為例，詳細列出系統盤 (C:) 與網站資料盤 (E:) 的建議權限設定。
1. 系統盤 (C:) 關鍵目錄權限
| 路徑 | 帳號/群組 | 權限 | 套用範圍 |
|---|
| C:\ | Administrators | 完全控制 | 此資料夾、子資料夾及檔案 |
| CREATOR OWNER | 完全控制 | 僅子資料夾及檔案 |
| SYSTEM | 完全控制 | 此資料夾、子資料夾及檔案 |
| IIS_WPG | 建立檔案/寫入資料、遍歷資料夾/執行檔案、列出資料夾/讀取資料、讀取屬性、建立資料夾/附加資料、讀取權限 | 此資料夾 |
| IIS_WPG | 遍歷資料夾/執行檔案、列出資料夾/讀取資料、讀取屬性、建立檔案/寫入資料、建立資料夾/附加資料、讀取權限 | 此資料夾、子資料夾及檔案 |
| 路徑 | 帳號/群組 | 權限 | 套用範圍 |
|---|
| C:\Documents and Settings | Administrators | 完全控制 | 此資料夾、子資料夾及檔案 |
| Power Users | 讀取與執行、列出資料夾、讀取 | 此資料夾、子資料夾及檔案 |
| SYSTEM | 完全控制 | 此資料夾、子資料夾及檔案 |
| 路徑 | 帳號/群組 | 權限 | 套用範圍 |
|---|
| C:\Program Files | Administrators | 完全控制 | 此資料夾、子資料夾及檔案 |
| CREATOR OWNER | 完全控制 | 僅子資料夾及檔案 |
| IIS_WPG | 讀取與執行、列出資料夾、讀取 | 此資料夾、子資料夾及檔案 |
| Power Users | 修改 | 此資料夾、子資料夾及檔案 |
| SYSTEM | 完全控制 | 此資料夾、子資料夾及檔案 |
| TERMINAL SERVER USER | 修改 | 此資料夾、子資料夾及檔案 |
2. 網站與虛擬主機目錄權限 (範例：E:\wwwsite)
假設每個虛擬主機建立獨立 vhost1...vhostn 帳號，並加入 webuser 群組統一管理。
| 路徑 | 帳號/群組 | 權限 | 套用範圍 |
|---|
| E:\ | Administrators | 完全控制 | 此資料夾、子資料夾及檔案 |
| 路徑 | 帳號/群組 | 權限 | 套用範圍 |
|---|
| E:\wwwsite | Administrators | 完全控制 | 此資料夾、子資料夾及檔案 |
| SYSTEM | 完全控制 | 此資料夾、子資料夾及檔案 |
| SERVICE | 完全控制 | 此資料夾、子資料夾及檔案 |
| 路徑 | 帳號/群組 | 權限 | 套用範圍 |
|---|
| E:\wwwsite\vhost1 | Administrators | 完全控制 | 此資料夾、子資料夾及檔案 |
| SYSTEM | 完全控制 | 此資料夾、子資料夾及檔案 |
| vhost1 | 完全控制 | 此資料夾、子資料夾及檔案 |
結語
最小權限原則配合獨立帳號隔離，能有效限制入侵範圍。實際部署時請根據應用程式需求微調，並定期稽核權限設定。