域控上共享个文件夹，控共权限设不对，享文限设用户要么打不开，控共要么能删不该删的享文限设东西。我见过最离谱的控共一次，财务部把整个季度的享文限设报表放在共享盘根目录，结果新来的控共实习生因为继承了Everyone的完全控制权限，直接拖进回收站清空了。享文限设Server 2012 R2的控共共享权限分两套——共享权限和NTFS权限，两套都生效，享文限设取最严格的控共交集。很多人只改其中一层，享文限设然后纳闷为什么用户还是控共能访问。

先搞清楚共享权限的享文限设默认值。你右键文件夹→属性→共享→高级共享，控共勾上“共享此文件夹”，默认给Everyone“读取”。这权限管的是网络入口，用户从别的机器通过\\服务器名\共享名访问时，第一道门就是它。别急着改成完全控制，因为NTFS权限在后面兜底。我的习惯是共享权限给“更改”或“读取”，精细控制全交给NTFS。

NTFS权限在“安全”选项卡里操作。这里有个坑：从父文件夹继承来的权限会跟显式权限叠加。比如你给部门A的文件夹设了“修改”，但父目录给了Everyone“读取”，那部门A用户实际拿到的是修改+读取的组合，还是能改。要断掉继承，点“高级”→“禁用继承”→“将继承的权限转换为此对象的显式权限”，然后手动删掉不想要的条目。

具体操作流程。假设D盘建个“财务共享”文件夹，只让财务组读写，其他人只能读。步骤一：共享权限里删掉Everyone，添加“财务组”给“更改”，添加“Domain Users”给“读取”。步骤二：NTFS权限里禁用继承，删掉Users的默认条目，添加财务组“修改”，添加Domain Users“读取”。这样财务组能改文件，普通用户只能看。注意“修改”权限包含读、写、删、改，别给“完全控制”，那会连权限都能改。

有个细节容易忽略。用户如果通过远程桌面登录到服务器本地操作，共享权限不生效，只看NTFS。我碰到过运维图省事，直接在服务器上双击打开共享文件夹改文件，结果权限验证路径跟网络访问不一样，改完发现客户端还是只读。别在服务器本地测权限，找台域内客户机用\\IP\共享名的方式验证。

再讲个真实案例。某公司把“公共文档”共享给所有人“读取”，但NTFS里保留了CREATOR OWNER的“完全控制”。结果每个人在自己创建的文件上都有完全控制权，别人却改不了。这本来没问题，直到有人把文件拖到共享根目录，CREATOR OWNER权限跟着继承，那文件就只有创建者能删。管理员想清理旧文件，发现自己没权限。解决办法是去掉CREATOR OWNER，或者用“所有者”机制单独处理。

权限冲突排查用有效访问工具。在“安全”选项卡→“高级”→“有效访问”，选个用户，点“查看有效访问”，系统会列出该用户最终拿到的权限，包括从组继承来的。比手动一层层翻组快得多。我习惯设完权限先跑一遍这个，确认没漏掉嵌套组。

最后说个反直觉的点。共享权限里的“拒绝”优先级最高，NTFS里的“拒绝”也最高。但两套权限之间，拒绝优先于允许。比如共享权限给了读取，NTFS里对某个用户设了拒绝读取，那用户直接打不开。别乱用拒绝，用“不分配权限”代替，拒绝条目多了以后排查能把人逼疯。

设完权限别急着收工。拿几个测试账号，一个在目标组，一个不在，分别从网络路径访问，试读、试写、试删。删的时候注意，如果用户有“删除子文件夹及文件”权限，但没有父文件夹的“删除”权限，他删完文件后文件夹还在，但内容清空。这种权限组合最容易被忽略，也最容易造成误删。