📚 课程目录第4章 Windows权限管理

4、Windows权限管理：NTFS权限、共享权限、用户组策略、UAC配置

权限管理这件事，说白了就是回答三个问题：谁能进来？能干什么？干了坏事怎么拦？Windows的权限体系虽然看着复杂，但拆开来看，核心就四块：NTFS权限、共享权限、用户组策略、UAC。我这些年处理过的权限事故，十有八九都是这四块没配合好。

  核心原则：权限配置不是越严越好，而是“刚刚好”。太松容易出安全事件，太紧业务跑不起来。我见过最夸张的一次，某运维把Everyone的NTFS权限全删了，结果整个部门的共享文件夹全崩了。

4.1 NTFS权限：文件系统的看门人

NTFS权限是Windows文件系统层面的权限控制。它管的是：谁可以读、写、执行某个文件或文件夹。我习惯把它理解为文件系统的“门禁系统”——每个文件/文件夹都有一张ACL（访问控制列表），上面写着谁可以干什么。

4.1.1 基础权限与高级权限

权限类型	对文件夹的作用	对文件的作用
完全控制	修改权限、删除子文件夹	修改权限、删除文件
修改	创建/删除子文件夹、修改属性	修改文件内容、删除文件
读取和执行	遍历文件夹、读取属性	读取内容、执行程序
列出文件夹内容	仅查看文件名（不继承到文件）	—
读取	查看属性、权限	读取文件内容
写入	创建新文件/子文件夹	修改文件内容（不能读取）

我的经验：给普通用户配权限时，我一般只给“修改”而不是“完全控制”。为什么？因为“完全控制”允许用户修改权限本身——万一他手滑把管理员踢出去了，你就得去服务器本地用管理员账户重新夺回所有权。这种事我遇到过两次，一次是开发人员误操作，一次是离职员工泄愤。

4.1.2 权限继承与“拒绝优先”

NTFS权限默认是继承的——子文件夹自动继承父文件夹的权限。但你可以显式设置“拒绝”来阻断继承。这里有个坑：拒绝权限的优先级高于允许。

举个例子：用户A属于“销售组”（允许读取）和“财务组”（拒绝读取）。如果财务组对某个文件夹设置了拒绝读取，那么用户A即使通过销售组获得了允许，最终结果还是拒绝。我曾经排查过一个案例：某员工突然打不开共享文件夹了，查了半天，发现他同时属于两个组，其中一个组被设置了拒绝权限。

避坑指南：尽量不要用“拒绝”权限。能用“允许”解决的问题，就别用“拒绝”。拒绝权限会让权限排查变得极其困难，尤其是当用户属于多个组时。我曾经花了一整个下午，就为了查一个“拒绝”是从哪个组继承来的。

4.2 共享权限：网络访问的守门员

共享权限管的是：通过网络访问共享文件夹时，谁能连进来。它和NTFS权限是两层独立的检查——最终权限取两者中最严格的那个。这就是所谓的“最严格原则”。

4.2.1 共享权限 vs NTFS权限

对比维度	共享权限	NTFS权限
作用范围	仅限网络访问	本地 + 网络访问
精细度	粗粒度（读取/更改/完全控制）	细粒度（6种基础权限 + 14种高级权限）
继承方式	不继承	默认继承
生效位置	文件夹属性 → 共享选项卡	文件夹属性 → 安全选项卡

你想想看：共享权限只有三个选项——读取、更改、完全控制。而NTFS权限有几十种组合。所以我的配置习惯是：共享权限给宽松的“完全控制”，真正的限制交给NTFS权限。这样既灵活又安全。

  配置口诀：共享权限开大门，NTFS权限管细节。共享权限设“完全控制”，NTFS权限按需收紧。这样你只需要维护一套权限规则，而不是两套。

4.3 用户组策略：批量管理的利器

用户组策略（GPO）是Windows域环境下的批量配置工具。它通过组策略对象（GPO）来统一管理计算机和用户的配置。说白了，就是管理员写一套规则，域内所有计算机自动执行。

4.3.1 组策略的核心结构

组策略分两大块：

计算机配置：开机时生效，影响所有登录用户。比如密码策略、软件限制策略。
用户配置：用户登录时生效，只影响当前用户。比如桌面壁纸、IE代理设置。

我记得有一次，整个公司的电脑突然都弹出一个安全提示，说密码过期了。后来查出来是组策略里设了密码最长使用期限30天，但没人通知大家。嗯，从那以后我每次改密码策略都会先发邮件通知全员。

4.3.2 常用安全策略配置

策略路径	推荐配置	说明
密码策略 → 密码长度最小值	8个字符	太短容易被暴力破解
密码策略 → 密码最长使用期限	90天	定期更换，降低泄露风险
账户锁定策略 → 账户锁定阈值	5次无效登录	防止暴力破解
用户权限分配 → 拒绝本地登录	添加Guest、普通用户组	限制非管理员本地登录
安全选项 → 交互式登录：不显示上次用户名	已启用	防止信息泄露

我的建议：组策略的生效顺序是：本地策略 → 站点策略 → 域策略 → OU策略。后生效的会覆盖先生效的。如果你发现策略没生效，先检查一下是不是被更高级的策略覆盖了。我曾经遇到过，域策略设了密码长度10位，但OU策略设了8位，结果OU里的用户密码长度只有8位。

4.4 UAC（用户账户控制）：最后的防线

UAC是Windows Vista引入的安全机制，目的是防止恶意软件在用户不知情的情况下获取管理员权限。它的核心逻辑是：即使你是管理员，默认也是以标准用户权限运行程序。需要管理员权限时，系统会弹窗提示你确认。

4.4.1 UAC的工作原理

当一个管理员登录时，Windows会创建两个访问令牌：

标准用户令牌：用于日常操作，权限受限
管理员令牌：需要提升权限时使用

当你运行一个需要管理员权限的程序时，UAC会弹窗询问是否同意提升权限。如果同意，程序就会使用管理员令牌运行。这就是所谓的“管理员批准模式”。

注意：很多人觉得UAC烦人，直接把它关了。我强烈不建议这么做。UAC是Windows安全体系的重要一环。关了UAC，恶意软件就可以在后台静默安装、修改系统设置。我见过一个客户，为了省事把UAC关了，结果中了勒索病毒，整个文件服务器被加密，最后花了十几万恢复数据。

4.4.2 UAC的四个级别

级别	行为描述	适用场景
始终通知	任何权限提升都弹窗，包括管理员自己	高安全环境，如域控服务器
仅当程序尝试更改计算机时通知（默认）	管理员操作不弹窗，非微软程序弹窗	日常办公推荐
仅当程序尝试更改计算机时通知（不降低桌面亮度）	同上，但不切换到安全桌面	需要快速响应的场景
从不通知	关闭UAC，所有程序以管理员权限运行	不推荐，除非是隔离的测试环境

我个人习惯把UAC保持在默认级别（第二个）。既不影响日常操作，又能防止恶意软件偷偷搞事情。如果你在服务器上操作频繁，可以考虑第三个级别——不降低桌面亮度，能省掉一次桌面切换的等待时间。

4.5 权限配置实战：一个完整的案例

假设公司有一个共享文件夹 \\FileServer\ProjectData，需要满足以下需求：

销售部可以读取和写入
财务部只能读取
其他部门不能访问
管理员拥有完全控制权

我的配置步骤：

创建本地安全组：Sales_Group、Finance_Group、Other_Group
设置共享权限：Everyone → 完全控制（先放行，后面用NTFS限制）
设置NTFS权限：
- Administrators → 完全控制
- Sales_Group → 修改
- Finance_Group → 读取
- Other_Group → 拒绝（或者不添加，默认拒绝）
验证：用不同部门的账号测试访问

  关键点：共享权限设“完全控制”，NTFS权限做精细控制。这样你只需要维护NTFS权限这一套规则，管理成本最低。

嗯，以上就是Windows权限管理的四个核心模块。NTFS权限管文件系统，共享权限管网路访问，组策略管批量配置，UAC管权限提升。四者配合好了，你的Windows系统就能做到“该进的进得来，不该进的进不来，进来了也干不了坏事”。