權限模型基石

Windows XP 採用 ACL（存取控制清單）機制，每個物件（檔案、資料夾、登錄鍵值、印表機等）擁有 DACL（自主存取控制清單），由多個 ACE（存取控制項目）組成。四大原則決定 ACE 如何生效、衝突如何解決。

1. 拒絕優於允許

核心邏輯：評估存取時，系統先檢查所有「拒絕」 ACE，再檢查「允許」ACE。任一明確拒絕即阻擋存取，無論有多少允許規則。

案例

• 用戶 shyzhong 同時屬於群組 shyzhongs 與 xhxs
• xhxs 對資源 DOC 有「允許 寫入」
• shyzhongs 對同資源對 shyzhong 設「拒絕 寫入」
• 結果：shyzhong **無法寫入**，拒絕生效

實務啟示：慎用「拒絕」，優先用「不設定允許」達到同樣效果，避免權限糾結難以追蹤。

2. 權限最小化

核心邏輯：使用者僅獲得完成工作所需的最低權限。預設無權限，按需添加允許。

實作

• 新建受限用戶 shyzhong，預設對 D:\DOC 無任何權限
• 需求：允許讀取 → 在 DOC 安全性頁籤 → 「新增」→ 輸入 shyzhong → 勾選「讀取」→ 確定
• 不需「寫入」、「修改」、「完全控制」則不勾選

3. 權限繼承

核心邏輯：子物件預設繼承父物件的 ACE。父層設定一次，子層自動生效。

案例

• D:\DOC 設定 shyzhong「允許 寫入」
• 子資料夾 DOC01、DOC02、DOC03 自動擁有相同權限
• 若需例外：子資料夾安全性 → 「進階」→ 取消勾選「繼承自父物件的權限」→ 複製/移除後自訂

4. 累加原則

核心邏輯：使用者有效權限 = 所有群組成員權限的聯集（允許疊加）。

案例

• zhong ∈ 群組 A（權限：讀取）∩ 群組 B（權限：寫入）
• 有效權限 = 讀取 + 寫入

注意：若群組 A 有「拒絕 寫入」，依原則 1，最終仍為拒絕。

四大原則關係圖譜

原則	解決問題	操作建議
拒絕優先	衝突裁決	少用拒絕，用「不允許」替代
最小權限	資源安全	預設無權，按需添加
繼承性	管理簡化	父層統一設定，子層例外再覆寫
累加性	彈性授權	群組設計正交，避免權限重疊衝突

特殊權限：Administrators 群組的「取得擁有權」

Administrators 成員擁有 Take Ownership 權限，可強制奪取任何物件擁有權，繞過 DACL 限制。即使受限用戶設定「僅自己可讀」，管理員仍可奪取所有權後修改權限存取。**物理存取機器 = 最高權限**，加密（EFS/BitLocker）才能真正保護資料機密性。

權限設計口訣：
「拒絕慎用、最小授權、父層統管、群組正交、管理員能奪權、加密才安心。」