文件服务器共享权限混乱的整理与修复
文件服务器运行数年后，共享权限与 NTFS 权限交织，部门人员变动导致 『everyone』 组被滥用、继承被随意中断、个别文件夹被手动加过用户账号。结果出现三类典型问题：能进文件夹却打不开文件、能读却不能写、本该隔离的部门互相可见。更危险的是，直接把用户账号写进 ACL 会让离职人员残留、新人不生效。整理的核心是分清共享权限与 NTFS 权限两层模型，并以安全组作为唯一授权单位，先从治理模型上收口再动手修。
原理与判断
权限混乱的本质是缺乏统一的授权模型。很多环境早期图省事直接给用户账号开权限，随着人员流动，ACL 上堆满离职账号与临时授权，最终没人说得清某目录到底谁该访问。治理的思路不是逐个修账号，而是把权限收口到部门安全组，再让安全组继承到目录，这样人员变动只需调整组成员。先用 icacls 摸清现状、导出基线，再统一重置，才能既修好又不留新债。
一、理清两层权限模型
- 共享权限作用于网络访问入口，粒度粗，仅『读取、更改、完全控制』三档，建议统一设为经过身份验证的用户只读或 Everyone 完全控制，把细节交给 NTFS。
- NTFS 权限才是真正的安全边界，控制到文件级，支持拒绝与允许、继承与特别权限，最终有效权限取共享与 NTFS 的交集（最严格值）。
- 使用 icacls 共享路径 导出当前 ACL 并保存到文本，先备份再修改，防止误操作无法回退。
- 注意 『Creator Owner』『Users』『Authenticated Users』 等默认组可能带来非预期继承，需要逐一审视并清理。
二、重置并规范化
- 关闭错误继承：对混乱目录执行 icacls 目录 /inheritance:r 移除继承，随后重新授予所需部门组，避免旧权限残留。
- 为部门建立安全组（如 SG_Finance_RW、SG_HR_R），用 icacls 目录 /grant:r 域名\组:(OI)(CI)M 授予修改，(OI)(CI) 保证对象与容器继承。
- 清理冗余：用 icacls 目录 /remove:g 旧账号 移除离职人员直接授权，杜绝账号级 ACL，统一走安全组。
- 顶层设只读、子目录设读写，遵循最小权限；对敏感目录加审计：icacls 目录 /setaudit:g 组:(OI)(CI)(S,WD) 记录成功与失败访问。
三、批量审计与迁移
- 用 icacls 根目录 /t /c 递归列出整棵树的 ACL，快速发现越权项与异常账号，导出为报告归档。
- 迁移时同步权限：robocopy 源 目标 /COPY:DATSO /SECFIX /E 保留并修复 ACL，避免新服务器重新配权出错。
- 以普通用户身份映射驱动器验证读写，用 accesschk -d 共享路径 枚举有效权限确认无越权。
四、建立长期维护机制
- 将权限分配纳入入职离职流程，离职只移出安全组即可全局生效，避免逐个目录清理。
- 对关键目录启用继承并定期用 icacls 比对快照，发现权限漂移及时修正，形成闭环。
技术总结：共享权限只做入口控制，NTFS 权限才是实质。坚持共享层宽松、NTFS 层收紧、按安全组授权、禁用 everyone 写、禁止账号级 ACL 的原则，配合定期递归审计与流程化维护，即可长期避免混乱。权限治理是持续过程，而非一次性清理。