必须分三步：先强制接管所有权并勾选替换子容器，再禁用继承并清除deny规则，最后图形界面或命令行授予administrators完全控制权；默认所有者为nt service\trustedinstaller，直接赋权无效。
当你尝试向 C:\Windows\System32、C:\Windows\WinSxS 或 C:\Program Files\WindowsApps 这类核心系统文件夹中复制驱动、替换 DLL、调试组件或安装开发工具时，反复弹出“你无权更改此文件夹”“需要来自 TrustedInstaller 的权限”或“拒绝访问”，说明当前账户既不是所有者，也未获得 NTFS 层级的完全控制权——必须分三步强制接管、切断继承、再授予权限，缺一不可。
强制接管文件夹所有权
这一步不可跳过。默认所有者是 【NT SERVICE\TrustedInstaller】，普通管理员连“编辑权限”按钮都是灰色的，直接点会报错“你无权读取该文件夹的权限设置”。
右键目标文件夹 → 【属性】→【安全】→【高级】→点击“所有者”右侧的【更改】。
在“输入要选择的对象名称”框中输入【Administrators】（不加计算机名前缀即可识别，比输全名更稳定）→【检查名称】→【确定】。
返回上一级窗口，务必勾选【替换子容器和对象的所有者】——不勾选，只改了父文件夹，里面成千上万个 DLL、配置文件、组件包仍归 TrustedInstaller 管，后续赋权会大面积失败。
连续点击【应用】→等待进度条走完（大文件夹如 WinSxS 可能需 30 秒以上）→【确定】关闭所有窗口。
禁用继承并清除 Deny 规则
所有权变更后，文件夹仍继承自父目录（如 C:\Windows）的 Deny 权限，这些规则优先级高于你后续添加的 Allow，会导致“明明勾了完全控制却依然打不开”。
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
右键文件夹 → 【属性】→【安全】→【高级】→点击【禁用继承】→在弹出窗口中选择【将继承的权限转换为对此对象的显式权限】。
在下方权限列表中，逐行查找带有“拒绝”字样的条目（尤其注意【SYSTEM】或【Administrators】被标记为“拒绝”的行），选中它 → 点击【删除】→【确定】。
这一步做完后，权限列表只剩你刚设的所有者 Administrators，且不再有 Deny 干扰。
图形界面授予 Administrators 完全控制权
此时【编辑】按钮已可点击，进入正式赋权环节。
方法一：直接添加 Administrators 组
点击【编辑】→【添加】→输入【Administrators】→【检查名称】→【确定】。
在下方权限列表中，选中 Administrators → 勾选“允许”列下的【完全控制】→【应用】→【确定】。
方法二：为当前登录用户单独授权（适合多账户环境）
点击【编辑】→【添加】→输入你的用户名（如 Administrator 或 DESKTOP-ABC\John）→【检查名称】→【确定】。
选中该用户 → 勾选“允许”列下的【完全控制】→【应用】→【确定】。
方法三：命令行精准赋权（适合深层嵌套或批量处理）
以管理员身份运行 PowerShell，执行：
icacls "C:\Windows\System32\drivers\etc" /grant:r Administrators:(OI)(CI)(F)
其中 (OI) 表示对象继承，(CI) 表示容器继承，(F) 表示完全控制；路径必须用英文双引号包裹，中文路径同样有效。
