Windows 2000 NTFS 磁碟權限實戰應用與多重權限邏輯解析

前置條件：必須為 NTFS 分割區

FAT/FAT32 不支援檔案/資料夾層級權限。單純 Win2K 環境建議全盤 NTFS，提升穩定性與安全性。FAT32 轉 NTFS：convert X: /fs:ntfs（不可逆，Win9x 將無法識別）。

核心概念：ACL 與 SID

• ACL (Access Control List)：記錄允許存取資源的用戶/群組/電腦帳號。
• SID (Security Identifier)：每個帳號建立時系統隨機產生的唯一識別碼。權限綁定 SID，非帳號名稱。刪除帳號重建同名帳號，SID 不同，權限失效，必須重設。

權限設定實戰範例

需求：檔案 FILE 僅允許 USER1/USER2/USER3 存取；USER1 完全控制、USER2 唯讀、USER3 讀寫但不可刪除。

1. 右鍵 FILE → 內容 → 安全性。
2. 取消勾選「允許繼承自父代的權限」→ 選「移除」（清空現有 ACL）。
3. 新增 USER1 → 勾選「完全控制」允許。
4. 新增 USER2 → 僅勾選「讀取」允許。
5. 新增 USER3 → 勾選「修改」允許（含讀寫），取消「完全控制」。
6. 進階 → 選 USER3 → 檢視/編輯 → 取消「刪除」允許 → 確定。

驗證：USER1 可刪改；USER2 存檔提示「無法建立檔案」；USER3 可存檔但刪除提示「拒絕存取」。

資料夾權限繼承

資料夾額外提供「重設所有子物件權限並允許傳播可繼承權限」選項，勾選後子檔案/資料夾將強制套用相同 ACL。

多重 NTFS 權限核心邏輯（重點與難點）

1. 權限累加原則

用戶有效權限 = 個人權限 ∪ 所屬群組權限。
例：USER1（讀取）+ GROUP1（寫入）→ USER1 實際擁有「讀取+寫入」。

2. 檔案權限優先於資料夾權限

若用戶對檔案有權限，即使無資料夾權限，仍可透過完整路徑（如 C:\Folder\File.txt）直接存取檔案（前提：檔案未繼承資料夾權限）。

3. 「拒絕」絕對優先，覆蓋所有允許

任何層級（用戶/群組）出現「拒絕」，該權限即被鎖定，累加原則失效。
例：USER1（讀取）+ GROUP1（拒絕）→ USER1 無法存取。
混合例：USER1（讀取）+ GROUP1（寫入）+ GROUP2（拒絕寫入）→ USER1 僅保留「讀取」。

實務建議

• 優先使用群組管理權限，減少個別用戶 ACL，降低維護複雜度。
• 慎用「拒絕」，改用「不給予允許」達成同樣效果且較易排查。
• 重要資料先在測試環境驗證權限邏輯，避免誤鎖自己或洩露資料。
• 定期審核 ACL，移除離職/停用帳號的 SID 殘留條目。