Windows Server 2003 資料夾存取權限精準控制：三步驟實現使用者隔離存取

Windows Server 2003 檔案共享環境下，需實現「使用者 A 僅能存取資料夾 A，使用者 B 僅能存取資料夾 B」的精細權限隔離。透過安全性原則調整、帳戶建立、共享權限設定三步驟即可完成。

操作三步驟

1. 調整本機安全性原則：啟用經典共享模式

• secpol.msc →「本機原則」→「安全性選項」
• 找尋：「網路存取：本機帳戶的共享和安全性模型」
• 設定為：「經典 - 對本機使用者進行身分驗證，不改變其身分」
• 此設定確保本機帳戶跨網路存取時保持原有身分，而非被映射為 Guest

2. 建立對應使用者帳戶並歸類

• lusrmgr.msc (或「控制台」→「使用者帳戶」) 建立帳戶：A、B、C、D、E、F、G
• 設定強密碼 (建議同帳戶名密碼或統一複雜密碼)
• 群組隸屬：全部設為 Guests 群組 (最低權限基線，安全優先)
• 移除 Users 群組隸屬 (防止繼承過多權限)

3. 逐一設定資料夾共享與 NTFS 權限

1. 右鍵資料夾 A →「共享」→「共享這個資料夾」
2. 「權限」按鈕 → 移除 Everyone → 新增使用者 A → 允許「讀取」/「變更」/「完全控制」視需求
3. 「安全性」標籤 (NTFS 權限) → 同樣僅保留 SYSTEM、Administrators、使用者 A
4. 重複上述步驟設定資料夾 B→使用者 B、資料夾 C→使用者 C ...

權限生效驗證

• 使用者 A 登入 → 存取 \\Server\A → 成功
• 使用者 A 存取 \\Server\B →「拒絕存取」
• 使用者 B 存取 \\Server\A →「拒絕存取」
• 管理員帳戶 → 所有資料夾皆可存取 (Administrators 群組保留完全控制)

進階權限模型：NTFS + 共享 雙層防護

最佳實務：共享權限給「Everyone: 完全控制」，NTFS 權限精細控制每個使用者/群組。簡化共享管理，集中於 NTFS 實現最小權限原則。

自動化部署：批次檔/腳本快速建立

REM create_isolated_shares.cmd
@echo off
set USERS=A B C D E F G
set BASE_PATH=D:\Shares

for %%u in (%USERS%) do (
    mkdir "%BASE_PATH%\%%u"
    net share %%u="%BASE_PATH%\%%u" /grant:%%u,FULL /grant:Administrators,FULL
    icacls "%BASE_PATH%\%%u" /inheritance:r /grant:r "SYSTEM:(OI)(CI)F" "Administrators:(OI)(CI)F" "%%u:(OI)(CI)M"
)

icacls 參數：
`/inheritance:r` 移除繼承並轉為明確權限
`(OI)(CI)` 物件繼承/容器繼承 (遞套至子資料夾/檔案)
`F` 完全控制、`M` 修改 (讀寫刪除、無法變更權限/取得擁有權)

常見錯誤與避坑

• ❌ 僅設共享權限、忽略 NTFS → 本機登入繞過共享直接存取
• ❌ 僅設 NTFS、共享給 Everyone 完全控制 → 網路層面無隔離
• ❌ 帳戶歸屬 Users 群組 → 繼承預設權限導致權限外洩
• ❌ 未啟用「經典共享模式」 → 本機帳戶映射為 Guest，權限失效

結語

Windows Server 2003 資料夾隔離存取核心在於：安全性模型設為經典、帳戶最小權限分組 (Guests)、NTFS 權限精細授權。掌握「共享粗略、NTFS 精細」雙層模型，配合 icacls 自動化腳本，可高效管理百級使用者隔離環境。