部门共享目录权限设计是什么
一套可落地的共享目录模型：共享层权限保持粗放（认证用户给“更改”），真正的权限控制放在 NTFS 上、按安全组细分；目录按用途分成读、写、敏感三级，一切授权给组，任何个人都不直接出现在 ACL 里。人员变动只改组关系，资源上的权限条目长期不动，这就是 AGDLP 思路在实际目录结构里的样子。
基本信息
| 适用模型 | 共享权限粗放 + NTFS 精细（安全组） |
|---|---|
| 目录结构 | Dept\Read、Dept\Write、Dept\Sensitive 三级 |
| 授权对象 | 域安全组（DL-部门-读写），不授个人 |
| 设计原则 | 授权给组、最小权限、定期复核 |
| 备份层 | 部门目录下再分公共与个人目录 |
| 审计要求 | 敏感目录单独定义审计与备份策略 |
落地步骤
- 先定目录树：按读、写、敏感三层划分，不按人划分
- 在域侧建安全组：按部门与权限组合命名，如 DL-销售-读写
- 共享层给认证用户更改权限，避免共享层成为排错变量
- NTFS 层给安全组精确授权，读目录只读、写目录修改
- 敏感目录额外限制范围并开启审计
- 上线后定期复核组成员，权限设计保持不动
常用示例
常用示例
New-SmbShare -Name Dept -Path D:\Share\Dept -ChangeAccess 'CORP\Domain Users' # 共享层粗放授权
icacls D:\Share\Dept\Read /grant "CORP\DL-Dept-R:(OI)(CI)RX" # 读目录：只读
icacls D:\Share\Dept\Write /grant "CORP\DL-Dept-W:(OI)(CI)M" # 写目录：修改
icacls D:\Share\Dept\Sensitive /grant "CORP\DL-Dept-R:(OI)(CI)RX" # 敏感目录：控制范围
icacls D:\Share\Dept\Sensitive /remove:g "CORP\Domain Users" # 清掉过宽的授权
Get-SmbShareAccess -Name Dept # 复核共享层层次与职责
| 层次 | 控制什么 | 设计要点 |
|---|---|---|
| 共享权限 | 共享入口的粗粒度范围 | 保持简单，避免与 NTFS 打架 |
| NTFS 权限 | 真正的访问控制 | 按安全组精确授权 |
| 目录结构 | 权限的自然分层 | 读与写分开，敏感独立 |
| 组成员 | 人员与权限的关系 | 人员变动只改这里 |
| 审计与备份 | 合规与恢复 | 敏感目录单独定义 |
把变化集中在安全组的成员关系上，资源侧 ACL 长期稳定，这样权限复核只需要回答两个问题：这组里都有谁，这组在哪些资源上有权限。
不要让共享权限比 NTFS 更严格：两层限制不一致时，排障要在两套体系间来回切换，成本翻倍且容易改错层。