要让特定安全组对共享文件夹拥有完全控制权限，必须同时配置共享层权限和NTFS安全权限，二者缺一不可；仅设其一会导致“能看到但打不开”或“能连接但无法写入”，实际访问权限为两者交集。要让特定安全组对共享文件夹拥有完全控制权限，必须同时配置**共享层权限**和**NTFS安全权限**，二者缺一不可。Windows 的实际访问权限是两者的交集，只设其中一项会导致“能看到但打不开”或“能连接但无法写入”。
创建并确认安全组存在
若尚未建立专用安全组，需先在本地或域环境中创建：
- 在域环境中：使用“Active Directory 用户和计算机”新建安全组（如 ShareAdmins），将目标用户加入该组。
- 在工作组电脑上：打开 compmgmt.msc → “本地用户和组” → “组” → 右键新建组，勾选“安全组”，添加成员。
- 确保该组名称不含空格和特殊字符，便于后续输入时准确识别。
设置高级共享权限（网络入口控制）
这一步决定谁可以通过 \计算机名共享名 访问该共享，以及初始允许的操作范围。
- 右键目标文件夹 → “属性” → “共享”选项卡 → 点击“高级共享”。
- 勾选“共享此文件夹”，填写简洁共享名（如 ProjectSecure）。
- 点击“权限” → “添加” → 输入安全组名称（如 ShareAdmins），点击“检查名称”确认后添加。
- 选中该组，在下方权限中仅勾选完全控制（不勾选“读取”或“更改”单独项，直接选“完全控制”即可覆盖）。
- 点击“确定”逐层保存。
同步配置NTFS安全权限（文件系统级控制）
共享权限只管“能不能连进来”，NTFS权限才真正决定“能不能读、写、删、改”。必须为同一安全组授予对应NTFS权限。
- 仍在该文件夹“属性”窗口中，切换到“安全”选项卡 → 点击“编辑” → “添加”。
- 输入安全组名称（ShareAdmins），确认添加。
- 选中该组，在“允许”列中勾选：完全控制（会自动勾选所有子项：修改、读取和执行、列出文件夹内容、读取、写入）。
- 确保“应用于”下拉菜单选择的是“该文件夹、子文件夹和文件”（避免权限仅作用于顶层）。
- 点击“确定”保存。
验证与注意事项
完成设置后，建议用组内成员账户从另一台设备测试访问：
- 访问路径应为
\目标计算机名ProjectSecure，而非本地路径。 - 若提示“拒绝访问”，请检查：
– 客户端登录账户是否确属该安全组；
– 目标计算机是否启用网络发现与文件共享；
– 是否关闭了“密码保护的共享”（如启用，则客户端需提供匹配的本地账户凭据）。 - 不推荐使用 Everyone 或 Guest，既不符合最小权限原则，也容易引发审计风险。
