文件共享权限配置是企业IT运维中错误率最高的操作之一。很多管理员分不清NTFS权限和共享权限的区别，导致要么权限过松造成安全风险，要么权限过严影响正常使用。本文彻底厘清两者关系。
两种权限的本质区别
共享权限（Share Permission）：仅在通过网络访问共享文件夹时生效，对本地登录用户完全无效。设置位置：文件夹属性→共享→高级共享→权限。
NTFS权限（安全权限）：无论本地访问还是网络访问均有效，是真正的访问控制机制。设置位置：文件夹属性→安全选项卡。
关键原则：实际生效的权限是两种权限的交集（取更严格的那个）。常见最佳实践是将共享权限设为"Everyone - 完全控制"，所有精细权限控制通过NTFS权限实现，避免双重管理的混乱。
NTFS权限继承关系
新建文件夹默认继承父文件夹的NTFS权限。若需要为子文件夹设置不同权限，必须先"禁用继承"（安全选项卡→高级→禁用继承），选择"将继承权限转换为此对象的显式权限"，然后再修改。直接在继承状态下修改会报错"无法编辑"。
常用权限规划方案
以部门共享文件夹为例，推荐方案：
- 共享根目录：共享权限 Everyone 完全控制；NTFS 权限 Authenticated Users 读取+执行（防止直接在根目录存文件）
- 各部门子文件夹：对应部门AD安全组 修改权限；管理员组 完全控制；其他部门组 拒绝（或不设置任何权限，默认拒绝）
- 公共只读目录：所有用户组 读取+执行；维护人员组 修改
权限故障排查步骤
当用户反映"没有权限"时，按以下顺序排查：
- 确认用户账户未被锁定（Active Directory用户和计算机→查看账户状态）
- 检查用户所属组（AD中查看用户的"隶属于"选项卡）
- 在文件夹属性→安全→高级→有效访问，输入用户名查看实际生效权限
- 检查是否存在"拒绝"权限条目（拒绝优先于允许）
- 确认共享权限不是限制点（临时改为Everyone完全控制测试）
注意事项
修改NTFS权限后，已登录用户需要重新注销登录才能获取新的权限令牌（Kerberos ticket缓存问题）。如需立即生效，让用户执行"klist purge"命令清除Kerberos缓存后重新登录。