可能重复：
Win 7，使用两个管理员保护文件夹
我希望一个管理员帐户能够读取和写入 Windows 7 文件夹，计算机上的其他管理员帐户只能具有读取权限。
文件夹名称 = C:\SensitiveData
机器上有 2 个管理员帐户和各种用户帐户 AdminAccount1 = normalAdmin AdminAccount2=sensitiveDataAdmin
我只希望sensitiveDataAdmin 能够读取和写入 C:\SensitiveData 文件夹，并且所有普通用户和其他管理员用户都能够读取该文件夹。
关于我们为什么想要这个的背景。 PC 不在域或网络上，它只是独立的并连接到互联网。它有一个将数据保存到云的应用程序，但是当云发生故障时，我们希望将这些敏感信息保存到本地磁盘，但不允许任何人删除或修改数据（只能读取它）。
答案1
来自安全十大不变法则：
法则2：如果坏人可以改变你的计算机的操作系统，那么它就不再是你的计算机了。
法则#3：如果坏人可以不受限制地物理访问您的计算机，那么它就不再是您的计算机了
。...
法则#6：计算机的安全性取决于管理员的可信度。
法则#7：加密数据的安全性取决于其解密密钥
提醒一下基本原则，这里的其他人基本上都说对了。没有域，您将无法有效地保护自己C:\SensitiveData免受 NormalAdmin 的攻击。即使和域，如果信息存储在 NormalAdmin 具有管理员权限的系统本地，则通过文件权限保护这些数据可能仍然无效。此外，取决于真的担心 NormalAdmin 可以访问这些数据，仍然存在“物理访问”问题。
唯一可能经受住物理访问攻击或具有系统管理员权限的攻击者攻击的保护措施是文件加密。这就是第 7 条法则发挥作用的地方。如果您要加密文件，并且不希望 NormalAdmin 拥有访问权限，请确保解密密钥受到 NormalAdmin 没有或无法随意获取访问权限的某种机制的保护。
即使文件加密，NormalAdmin 仍然可以获取数据，只要他愿意努力。通过不受限制、不受监督地访问系统（以及尤其假设他拥有预先存在的管理员权限，他几乎可以对文件做任何他想做的事情。这包括安装键盘记录器或其他间谍软件，以便他获得本地存储的解密密钥的访问权限。或者，他可以编写并安装一个脚本，以便在用户解密时复制敏感数据。当然，这些方法更具侵入性，需要付出的努力远远超过随意更改文件权限。但关键是风险仍然存在。参见法则 6。
注意：以上所有内容实际上只是在讨论对文件的一般访问 - 一种全有或全无的权限方案。如果你想要一个方案允许NormalAdmin 必须读访问，但有效地阻止了他获得写访问，问题就会变得更加困难（如果不是不可能的话）。
答案2
您不能这样做。管理员的意义在于他们是管理员。您可以通过在域上创建“准管理员”类型的组来执行此操作。
可能有一些专业软件可以帮助您，但仅靠 Windows 是不可能实现的，尤其是在工作组中。
答案3
昨天有人问过类似的问题Win 7，使用两个管理员保护文件夹。如果加密是一种选择，那么这可能是解决方案。