Windows Server 檔案共享權限設定是企業資安基石。本文詳細說明 **原生 NTFS + 共享權限雙層架構**、**SMB 進階共享精靈 (Server 2012 R2 新功能)**、**存取型別枚舉 (ABE)**、**配額管理**、**分類管理 (FCI)**，並介紹第三方工具實現原生無法達到的「防複製、防另存為、防列印、防拖拽」精細管控。
| 層面 | NTFS 權限 (資料夾/檔案層級) | 共享權限 (網路存取層級) |
|---|---|---|
| 生效範圍 | 本機 + 網路 (透過共享) | 僅網路存取時 |
| 粒度 | 極細 (完全控制、修改、讀取、寫入、列出資料夾內容、讀取/執行、特殊權限) | 粗略 (完全控制、變更、讀取) |
| 繼承 | 支援繼承、傳播、取代 | 不支援繼承，每個共享獨立設定 |
| 生效原則 | **最嚴格原則**：實際權限 = NTFS ∩ 共享權限 (取交集中最嚴格者) |
最佳實務：共享權限給「Everyone / 驗證使用者 = 完全控制」，**真正管控在 NTFS 權限** 精細設定，管理單一集中點。
D:\Share\Dept\Finance)，若不存在可勾選「建立資料夾」。$ 為隱藏共用，如 Finance$)。DOMAIN\Finance_RW) → 確定。原生 NTFS/共享權限**無法區分**以下操作：
| 業務需求 | 原生權限 | 第三方工具 (如大勢至、文件堡壘、域盾) |
|---|---|---|
| 可讀取/開啟，不可複製/另存為本地 | ❌ 讀取權限即含複製 | ✅ 驅動級攔截複製/拖拽/另存為/列印/截圖 |
| 可修改內容，不可刪除/移動/重命名 | ❌ 修改權限含刪除 | ✅ 獨立控制刪除/移動/重命名權限 |
| 可列印，不可儲存列印輸出為 PDF/XPS | ❌ 無法管控 | ✅ 列印水印、禁止虛擬列印機、列印審計 |
| 截圖/錄屏管控 | ❌ 無法管控 | ✅ 螢幕水印、禁止截圖工具、遠端桌面管控 |
| USB/外部裝置寫入管控 | ❌ 需 GPO/BitLocker 配合 | ✅ 統一管控策略、白名單 |
若企業涉及**商業機密、圖紙、原始碼、財務報表、個資**等高敏感資料，**建議部署專業文件防洩漏系統 (DLP/IRM)**，在檔案伺服器端透過代理程式/驅動實現上述精細管控，並整合 AD/LDAP 帳號體系。
\\ServerIP\ShareName 或對應網路磁碟機。Get-SmbConnection 確認 Encrypted = True。Get-Acl / icacls 匯出報表，比對人事異動清單。Windows Server 共享權限設定，**核心在「共享給 Everyone 完全控制 + NTFS 精細管控」**。Server 2012 R2 引入 **ABE、SMB 加密、資料夾級配額、FCI 分類** 等強大功能，大幅提升安全性與管理性。對於「防複製、防另存為、防截圖」等原生無法達成的精細需求，**必須部署專業 DLP/IRM 系統**，在驅動/代理層攔截敏感操作，並整合 AD 帳號實現統一身份管控。權限設定不是一次完成，**定期審核、自動化報表、異動同步** 才是資安常態管理的關鍵。
