| 模型 | 共享权限粗放（Authenticated Users 更改），NTFS 精确（安全组） |
|---|---|
| 结构 | Dept\Read、Dept\Write、Dept\Sensitive 三级目录 |
| 原则 | 授权给组、最小权限、定期复核 |
常用示例
常用示例
:: NTFS：让“部门写组”对写目录有修改权限
icacls D:\Share\Dept\Write /grant "DOMAIN\DL-Dept-W:(OI)(CI)M"
:: 敏感目录只给只读组读取
icacls D:\Share\Dept\Sensitive /grant "DOMAIN\DL-Dept-R:(OI)(CI)RX"共享权限留在粗粒度、把变化集中在 NTFS 安全组上，人员变动只动组即可。