最小化原则要求只分配刚好够用的权限，需共享权限与ntfs权限协同取交集而非叠加；ntfs权限为真正守门人，应禁用继承、精确授权；推荐使用专用账户、凭据管理器及定期审查机制保障安全。
最小化原则不是“少设权限”，而是“只给刚好够用的权限”。它要求共享权限和ntfs权限协同配合，让访问控制既安全又可控，而不是靠关闭密码保护或启用guest账户来图省事。
共享权限与NTFS权限必须分开配置
Windows文件共享实际生效的权限，是共享权限和NTFS权限中更严格的一个。两者不叠加，而是取交集。这意味着：如果共享权限允许“更改”，但NTFS权限只给“读取”，最终用户只能读取；反过来也一样。
- 共享权限建议设宽一点（比如Everyone完全控制），只起通道作用，不承担主要安全职责
- NTFS权限才是真正的“守门人”，应禁用继承、手动添加具体用户或组，并精确分配“读取”“修改”“列出文件夹内容”等权限
- 避免在NTFS权限里直接加Everyone或Users组——这等于绕过最小化原则
用专用账户代替日常登录账户
为共享资源创建独立的Windows本地用户（如share-sales、share-hr），比用管理员或个人账户共享更安全、更易审计。
- 账户名体现用途，便于识别和后期权限调整
- 密码强度需符合组织策略，且不与其他系统复用
- 该账户仅用于网络访问，不登录桌面，降低横向移动风险
凭据管理器替代Guest方案
关闭密码保护共享+启用Guest账户看似简单，实则放弃身份验证。正确做法是保持“密码保护共享”开启，再通过凭据管理器预存合法账户信息。
- 访问端执行cmdkey /add:目标计算机名 /user:用户名 /pass:密码，即可免密访问
- 凭据存储在Windows系统级，比第三方工具更稳定，兼容Win10/Win11混合环境
- 一旦账户密码变更，只需更新一处凭据，无需重配所有客户端
定期审查与命名规范不可省略
权限会随人员变动、项目结束而“长草”。没有定期清理，再好的初始设计也会失效。
- 每季度检查一次共享文件夹的NTFS权限列表，移除已离职人员或过期项目组
- 共享名采用统一前缀，例如“HR-2026-Budget”“PROJ-Alpha-Docs”，避免出现“新建文件夹(2)”这类无法追溯的名称
- 敏感数据共享建议额外启用EFS加密，或改用支持传输加密的云协作平台（如OneDrive企业版）
