Windows XP NTFS 權限設定核心四大原則（上）：拒絕優先、最小權限、繼承性

NTFS 檔案系統的強大在於精細的權限控制，但若不掌握核心原則，輕易陷入「明明給了權限卻無法存取」的困境。Windows XP 定義四大權限原則，本文詳解前三項，建立正確權限管理觀念。

原則一：拒絕優於允許（Deny Takes Precedence）

最基礎也最關鍵的規則：同一物件上，明確的「拒絕」永遠覆蓋「允許」，無論允許來源為何（直接指派、群組繼承、累加結果）。

經典案例

• 使用者 shyzhong 同時屬於群組 xhxs（給予資源 A「寫入」允許）與 shyzhongs（給予資源 A「寫入」拒絕）。
• 結果：shyzhong 無法對資源 A 執行寫入，因 shyzhongs 群組的「拒絕寫入」優先生效。

⚠️ 實務建議：盡量避免使用「拒絕」，改用「不給予允許」達成同樣效果，減少權限衝突排查難度。僅在極少數「必須強制封鎖特定使用者/群組」情境下謹慎使用。

原則二：權限最小化（Least Privilege）

核心精神：使用者僅擁有完成工作所需的最低權限，不多一分。新建使用者預設對任何資源「無權限」，需明確逐項授予。

操作範例

• 受限使用者 shyzhong 需讀取 D:\DOC 資料夾。
• 正確做法：在 DOC 的安全性頁籤 → 編輯 → 新增 shyzhong → 勾選「讀取」允許。
• 錯誤做法：給予「完全控制」或將使用者加入 Administrators 群組「圖省事」。

最小權限原則能有效限制惡意程式、使用者錯誤操作的破壞範圍，是資安基石。

原則三：權限繼承性（Inheritance）

子物件（資料夾、檔案）預設自動繼承父物件的權限設定（ACE），大幅簡化管理。

運作機制

• 在 D:\DOC 設定 shyzhong「寫入」允許。
• 其下 DOC01、DOC02、DOC03 等所有子資料夾與檔案，自動擁有相同權限，無需逐一設定。

進階控制

• 停用繼承：安全性 → 進階 → 「停用繼承」 → 選擇「轉換為明確權限」或「移除所有繼承權限」，建立獨立權限樹。
• 強制繼承：父物件勾選「將這些權限套用到所有子物件」（取代子物件現有權限），慎用。

原則四：累加原則（Cumulative Permissions）

使用者屬於多個群組時，其有效權限為所有群組權限的「聯集」（允許權限累加）。但受限於「拒絕優先」，任何群組的「拒絕」會覆蓋其他群組的「允許」。詳見下篇詳細解析。

特殊權限：取得所有權

Administrators 群組成員擁有「取得所有權」權力，可強制接管任何物件擁有權，進而修改權限。這意味著：受限使用者設定的「僅自己可讀」對管理員無效，管理員可隨時奪取所有權並完全控制。

總結

四大原則分工明確：

• 拒絕優先 → 解決衝突
• 最小權限 → 保障安全
• 繼承性 → 自動化管理
• 累加原則 → 彈性授權

掌握這四項，NTFS 權限不再是迷宮，而是精準的存取控制工具。下篇將深入累加原則、檔案權限優先於資料夾、複製/移動對權限影響等進階主題。