在windows server中配置smb共享需同步设置共享权限和ntfs权限，二者取交集且以更严格者为准；先创建目标群组（如finance-readers/admins），再分别在“高级共享→权限”和“安全→编辑”中分配对应访问级别，并禁用everyone、启用继承、验证非管理员账号访问效果。
在 windows server 中配置 smb 共享权限，让特定用户群组安全访问，关键不是只点“共享”就完事，而是要同步控制两层权限：共享权限（网络入口）和 ntfs 权限（文件系统级控制）。两者取交集，最终生效的是更严格的那个。只设共享权限、忽略 ntfs 权限，或者反过来，都会导致“能看见但打不开”“能登录但没读写权”这类问题。
明确目标群组并提前创建好
先确保你要授权的群组已在服务器本地或域环境中存在。例如：创建一个名为 Finance-Readers 的安全组，把财务部所有普通成员加进去；再建一个 Finance-Admins 组，加入财务主管和IT支持人员。如果是域环境，推荐用 Active Directory 统一管理；若为工作组模式，则需在每台服务器上手动创建本地组，并确保用户账户也存在于本机。
共享权限设置：控制谁可以从网络进入
右键目标文件夹 → “属性” → “共享”选项卡 → “高级共享” → 勾选“共享此文件夹” → 点击“权限”：
- 点击“添加”，输入群组名（如 Finance-Readers），确认后勾选“读取”；
- 再添加 Finance-Admins，勾选“读取”“更改”“完全控制”；
- 务必删除或禁用 Everyone（除非临时调试），避免权限泛滥；
- 不要依赖“Guest”账户，它默认被禁用且安全性极低，不建议启用。
NTFS 权限设置：决定用户实际能做什么
仍在该文件夹属性中，切换到“安全”选项卡 → “编辑” → “添加”：
- 添加 Finance-Readers，仅赋予“读取和执行”“列出文件夹内容”“读取”；
- 添加 Finance-Admins，赋予“完全控制”或按需选择“修改”“写入”等；
- 勾选“替换子容器和对象的权限”，确保权限向下继承到所有子文件夹和文件；
- 检查是否有冲突条目（比如某用户被单独拒绝），及时清理；
- 确认“Authenticated Users”或“Users”等默认组未意外获得过高权限。
验证与测试不能跳过
用非管理员账号（如 Finance-Readers 组内成员）从另一台客户端电脑访问：\ServerNameShareName。观察是否能正常浏览、打开文档，但无法新建或删除；再用 Finance-Admins 成员测试编辑、重命名、删文件等操作。如果失败，优先检查事件查看器中的“Security”日志，看是否有“访问被拒绝”的审核记录，这能快速定位是哪一层权限拦住了请求。
