Windows Server 2003 文件夾權限精細配置：多用戶隔離訪問實戰

需求：D 盤共享文件夾 shared 下有子文件夾 A、B、C、D、E、F、G，要求用戶 A 僅能訪問 A 文件夾，B 僅能訪問 B，以此類推，實現多用戶同一父共享下的子目錄強隔離。本文給出 Server 2003 環境下的標準配置流程。

核心原則：共享權限寬鬆 + NTFS 權限精細 = 最終有效權限

• 共享權限： 設置為 Everyone - 完全控制 (或 Authenticated Users - 讀/寫)，共享層面不做限制；
• NTFS 權限： 真正的訪問控制點，遵循顯式拒絕 > 顯式允許 > 繼承允許 > 繼承拒絕優先級；
• 安全模式： 本地安全策略 → 安全選項 → 網絡訪問: 本地賬戶的共享和安全模式 → 經典 - 對本地用戶進行身份驗證，不改變其身份，確保遠程訪問使用真實用戶身份而非 Guest。

操作步驟

1. 創建用戶並設置密碼：
   控制面板 → 用戶賬戶 → 創建 A、B、C、D、E、F、G
   全部設置為 受限用戶/Guests 組，密碼符合複雜度要求；
2. 共享父文件夾 shared：
   右鍵 shared → 共享和安全 → 共享此文件夾 → 共享名 shared → 權限 → 添加 Everyone → 完全控制 → 確定；
3. 配置子文件夾 NTFS 權限 (以 A 為例，其餘同理)：
   右鍵 shared\A → 屬性 → 安全 → 高級 → 取消勾選「允許繼承的權限傳播到此對象」 → 複製 (將繼承權限轉為顯式權限，便於刪除)；
   移除所有非必要用戶/組 (保留 SYSTEM、Administrators)；
   添加用戶 A → 允許 讀取和執行、列出文件夾內容、讀取 (若需寫入再加「寫入」)；
   顯式拒絕 用戶 B、C、D、E、F、G 所有權限 (或不添加，利用「無顯式允許即拒絕」原則，但顯式拒絕更直觀防誤)；
4. 驗證：
   客戶端 → \\ServerIP\shared → 輸入用戶 A 密碼 → 僅能進入 A 文件夾，雙擊 B 提示「拒絕訪問」。

進階優化：利用組簡化管理

# 1. 創建組 "Shared_Folder_Users"，將 A-G 加入
# 2. 父文件夹 shared 安全設置：添加 "Shared_Folder_Users" → 拒絕 "列出文件夾內容/讀取" (阻止直接枚舉子文件夾)
# 3. 各子文件夹 A-G：添加對應用戶 → 允許 "遍歷文件夾/執行文件、列出文件夾內容、讀取"
# 效果：用戶無法在 shared 根目錄看到所有子文件夾，只能通過已知路徑 \\Server\shared\A 直接訪問授權目錄
# 進一步：組策略部署 "訪問基於網絡的共享文件夾" 用戶權限分配，收斂非授權用戶

常見誤區避坑

結語： Server 2003 多用戶子目錄隔離的本質是「共享寬進 + NTFS 嚴出 + 經典安全模式 + 關閉繼承 + 顯式授權/拒絕」。掌握此套邏輯，遷移至 Server 2008 R2/2012 R2/2016/2019/2022 同樣適用，唯有界面細微差異 (如「安全」頁簽常駐、ICACLS 命令行批量化)。