前言
正確設定 NTFS 權限是 Windows 伺服器安全防護的基石。本文提供針對系統碟（C:）、網站資料目錄（如 E:\wwwsite）、虛擬主機隔離的完整權限範本，採用最小權限原則，平衡安全與功能。
一、 系統碟 (C:) 關鍵目錄權限範本
C:\ 根目錄
- Administrators：完全控制（此資料夾、子資料夾、檔案）
- SYSTEM：完全控制（此資料夾、子資料夾、檔案）
- CREATOR OWNER：完全控制（僅子資料夾與檔案）
- IIS_WPG：列出資料夾/讀取資料、讀取屬性、建立檔案/寫入資料、建立資料夾/附加資料、讀取權限、周遊資料夾/執行檔案（僅此資料夾）
C:\Documents and Settings
- Administrators：完全控制
- SYSTEM：完全控制
- Power Users：讀取與執行、列出資料夾內容、讀取（此資料夾、子資料夾、檔案）
C:\Program Files
- Administrators：完全控制
- SYSTEM：完全控制
- CREATOR OWNER：完全控制（僅子資料夾與檔案）
- IIS_WPG：讀取與執行、列出資料夾內容、讀取（此資料夾、子資料夾、檔案）
- Power Users：修改（此資料夾、子資料夾、檔案）
- TERMINAL SERVER USER：修改（此資料夾、子資料夾、檔案）
二、 網站與虛擬主機目錄權限（假設網站在 E:\wwwsite）
E:\ 根目錄
E:\wwwsite（網站根目錄）
- Administrators：完全控制
- SYSTEM：完全控制
- Service（網站服務帳號，如 NetworkService 或自訂帳號）：完全控制
E:\wwwsite\vhost1（單一虛擬主機目錄）
- Administrators：完全控制
- SYSTEM：完全控制
- vhost1（該虛擬主機專用帳號，屬 WebUsers 群組）：完全控制
三、 核心原則與操作建議
- 最小權限：每個虛擬主機專用帳號（vhost1…vhostN）僅擁有自己目錄的完全控制，無法存取其他 vhost 目錄。
- 群組管理：建立
WebUsers 群組，將所有 vhost 帳號加入，統一套用基礎權限（讀取、執行、列出），再於個別目錄給予完全控制。
- 移除繼承：在虛擬主機目錄右鍵→內容→安全性→進階→取消勾選「允許繼承自父物件的權限」，改為「複製」後移除多餘群組/帳號。
- 拒絕優先：極少數情況需用「拒絕」封鎖特定帳號存取敏感目錄（如資料庫備份資料夾），謹慎使用避免鎖死自己。
- 稽核：啟用「稽核物件存取」（群組原則），對關鍵目錄設定「失敗」稽核，異常存取即時發現。
四、 常見錯誤與修正
| 錯誤做法 | 風險 | 修正 |
|---|
| 網站目錄給 Everyone 完全控制 | 任意使用者可上傳/執行惡意腳本 | 移除 Everyone，改給專用帳號/IIS_WPG 僅需權限 |
| 虛擬主機共用同一帳號 | 單一站台被駭導致全盤淪陷 | 每站獨立帳號+目錄隔離 |
| 系統碟根目錄給 Users 寫入 | 惡意軟體植入啟動項、竄改系統檔 | 僅給 IIS_WPG 必要的「建立檔案/寫入資料」於特定暫存目錄 |
總結
NTFS 權限設定沒有萬用標準，但「最小權限、目錄隔離、群組管理、啟用稽核」四大原則通用。依本文範本調整至自身架構，並定期用 icacls 或 AccessChk 驗證實際生效權限，才能確保伺服器長期安全。
