我有一個包含兩級層次結構的 Windows 共享文件夾。權限由安全組管理。有趣的權限設置在第二級。只有當使用者可以看到訪問任何二級文件夾時，一級文件夾才應該是可見的。我想通過“反向繼承”權限來簡化第一級的管理。此外，沒有人期望管理員能夠在第一級（包括第二級文件夾）上進行任何更改。

設置

域中的 Windows Server 2008 R2

等級制度：

• 項目 A（group-a-all，僅在目錄上讀取）

  • A1 組（group-a1，完全權限）

    • 文件

  • A2 組（group-a2，完全權限）

    • 文件

• 項目 B（group-b-all，僅在目錄上讀取）

  • B1 團隊（group-b1，完全權限）

    • 文件

  • A2 組（group-a2，完全權限）

    • 文件

• $$ Fixer (group-a1) $$

組 group-a1 和 group-a2 是 group-a-all 的成員。例如，訪問使用者是 group-a1 的成員。為了防止在第二級進行更改或刪除，我還定義了 group-a1 不能在特定文件夾上更改或刪除。

效果

使用者是 group-a1 的成員。她看到了 Project A 文件夾。但不是 A1 隊。直到我創建了一些包含 group-a1 權限的 Fixer 文件夾。即使權限在項目 A tee 之外，這也有效。因此，似乎只有在第一級使用了這些權限（AD 安全組）時，第二級權限才有效。

為什麼會這樣？有沒有更好的方法來處理這種情況？

也許：

等級制度：

   Team A1 (group-a1, full permission)
       Files

項目 A（group-a-all，僅在目錄上讀取）共享文件夾 Team A2（group-a2，完全權限）文件

   Team B1 (group-b1, full permission)
       Files

項目 B（group-b-all，僅在目錄上讀取）共享文件夾 Team A2（group-a2，完全權限）文件

$$ Fixer (group-a1) $$ 因此，如果 A1 團隊在該團隊（組）中，他們將共享所有文件並共享項目 A 文件夾，但只有讀取權限

否則，如果您在項目 A 下有 2 個組的子文件夾，則需要管理更多。

引用自：https://serverfault.com/questions/347747