核心是共享权限管网络入口、ntfs权限管文件操作，二者取交集生效；须先配组策略（经典认证模型），再设admin$共享，最后双权限协同配置并禁用继承，避免绕过。
设置服务器组策略与共享权限，核心是分两层控制：网络入口（共享权限）和文件系统操作（NTFS权限），再通过组策略统一下发和固化规则。关键不在“能不能设”，而在于顺序、权限叠加逻辑和常见配置陷阱。
一、先调组策略：确保身份验证模型匹配
很多PSTools或远程管理失败，根源就在这一步没配对：
- 运行 gpedit.msc（Win10专业版/企业版或Server系统可用）
- 路径：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 安全选项
- 找到“网络访问：本地账户的共享和安全模型”
- 双击修改为：经典-对本地用户进行身份验证，不改变其本来身份（不是“来宾”模式）
- 执行 gpupdate /force 刷新，无需重启
⚠️ 注意：Windows家庭版无gpedit.msc，需升级或改用PowerShell+注册表方式（不推荐非专业环境操作）。
二、再配ADMIN$共享：PSTools等工具的通信基础
ADMIN$是系统默认共享，但默认权限常被锁死，必须手动放开：
- 右键 C:\Windows → 属性 → 共享 → 高级共享 → 勾选“共享此文件夹”
- 共享名填 ADMIN$，注释可写“远程管理”
- 点“权限”→ 添加 Everyone → 勾选“完全控制”
- 命令行验证：net share admin$，输出中必须含 FULL CONTROL
- 若已有冲突共享，先执行 net share admin$ /delete 再重建
三、共享权限 + NTFS权限：双控才真正生效
只设共享权限或只设NTFS权限，都可能被绕过。二者是“且”关系（用户必须同时满足两者）：
- 共享权限（在“共享”选项卡里设）：控制谁能连上来、能做什么（读取/更改/完全控制）
- NTFS权限（在“安全”选项卡里设）：控制连上来之后，具体能打开、复制、删除哪些文件
- 最小权限实践示例（如财务共享文件夹）：
✓ 共享权限：给 Finance_RW 组设“更改”
✓ NTFS权限：仅允许该组“读取和执行”“列出文件夹内容”“读取”“写入”，取消“修改”“删除”“取得所有权” - 务必点击“高级”→ 取消“继承权限”，再手动添加所需组，避免上级策略意外覆盖
四、进阶管控：禁止下载、另存、拖拽（防数据外泄）
如果目标是“只看不拿”，光靠权限不够，得加组策略干预行为：
- 路径：计算机配置 → 管理模板 → Windows组件 → 文件资源管理器
- 启用两项策略：
✓ 防止从网络共享文件夹中复制文件
✓ 禁止将文件另存为到本地驱动器 - 执行 gpupdate /force，策略立即作用于所有本地登录用户
- 补充建议：NTFS权限中移除“写入”和“删除”，并禁用继承，这样即使策略未生效，底层也拦得住
不复杂但容易忽略
