我在文件服务器上遇到了非常奇怪的 NTFS 权限现象，我无法找到错误，为此我绞尽了好几个小时。我遗漏了什么？
我的目标是：
- 组 A 中的用户应能够将新文件/文件夹写入文件夹（“添加文件”）。他们还应能够编辑这些新添加的文件。
- 晚上，新添加的文件应受到“保护”，以防止 A 组进一步编辑/删除。读取文件的权利和添加更多新文件的权利应保留。
这是我所做的：
- 创建组A，添加用户
- 授予组 A 对文件夹的（F）全部访问权限
- 创建一个脚本
- 删除文件夹中文件的继承位
- 删除对文件的（全部）访问权限，保留只读权限
问题是，我的用户可以编辑和删除文件，就像他们有完全访问权限一样。即使“有效权限”显示没有编辑权限，他们仍然可以。
该脚本运行正常并且如下所示：
icacls d:\folder\Bild1.jpg /inheritance:d
icacls d:\folder\Bild1.jpg /remove:g Group-A"
脚本运行后，file.jpg 上的 NTFS 权限如下所示（对我来说是正确的）：
icacls 输出也是如此：
d:\folder>icacls Bild1.jpg
Bild1.jpg WM\DomainAdmin:(F)
WM\Domänen-Admins:(F)
WM\Group-A:(RX)
该文件的有效权限选项卡显示完全相同（正确）的内容：
父文件夹的权限，用户应该能够在这里添加文件，如下所示：
Artweger WM\Group-A:(I)(OI)(CI)(F)
WM\Domänen-Admins:(I)(OI)(CI)(F)
如果该用户登录（他只在两个组中，Domain-Users 和 Group-A），他可以编辑、删除、重命名和移动文件 bild1.jpg。这怎么可能？NTFS 如何处理我的辉煌计划？
答案1
两个月前我也遇到过类似的问题，此主题可能对你有帮助。
我会首先检查这是否发生在所有文件上，还是仅发生在用户拥有的文件中（更改所有者以查看它是否仍然存在），正如 Daniel 所建议的那样。
然后我会尝试按照说明设置权限另一条线索，而是使用 Windows 中的详细偏好设置窗格（按钮先进的在右下角）和共享选项卡（我不确定在 Windows Server 中是否是这样操作的，在 Solaris 中是这样操作的）。基本思想是（引用自第二个链接线程）：
所有者始终可以更改其对象的 ACL。您可以使用仅允许“所有人：修改”权限的共享来阻止共享内容的此操作，因为这将“过滤掉”共享级别的任何更改 ACL 请求。如果您想允许管理员更改 ACL，只需将“存储管理员：完全控制”添加到共享权限中即可。