①【项目背景】
昆区一家建筑设计院，120 人的共享盘是 2015 年建的，根目录权限给的是 Domain Users 完全控制，理由是「方便」。去年结构所一个入职两周的新人，把整个「施工图-已交付」文件夹拖进了回收站，三天后审图要调图才发现，最后靠卷影副本捞回来一半。
更麻烦的是没人说得清谁能看什么。财务的工资表、经营的投标报价、各专业所的图纸全在同一个盘里，一个搜索就能翻出别的部门三年内的所有文件。
②【咨询设计】
权限模型按 AGDLP 来：账号进全局组，全局组进域本地组，域本地组挂权限，永远不给个人赋权。目录按「专业所/年份/项目号」三级，每个项目下固定四个子目录：01 输入、02 过程、03 交付、04 归档。03 交付对本所只读、对经营部只读，04 归档只有所长和档案管理员能写。
共享权限和 NTFS 权限是取交集的，所以共享层统一给「完全控制」，收口全部放在 NTFS 层——这样从服务器本地登录也绕不过去。很多同行觉得共享权限设只读就安全，实际上那只是网络访问的一道门，本地登录、计划任务、备份软件都不走共享层。
③【施工规划】
动手前先用 icacls 把现有 ACL 全量导出备份，再按部门重建。关闭继承用 /inheritance:r，然后逐个目录加组，顺序是先删 Everyone 再删 Users，最后加目标组，避免中途有人还能访问。120 人、3.2TB、18 万个文件，脚本跑了 40 分钟。
文件服务器是 Windows Server 2019，开启访问审核，订阅 4656/4663 事件，谁删了谁改了全有记录。卷影副本每天 2 次、保留 30 天，SMB 回收站打开。离职流程改成先转移文件所有权、再禁用账号，顺序反了文件就成孤儿。
④【安全补丁】
共享盘禁止存身份证扫描件和客户银行卡，这类文件统一进加密区，用 EFS 加 BitLocker 双保险。开启 SMB 签名和 SMB 加密，防止内网抓包。管理员账号和日常账号分离，日常账号不进 Domain Admins。
每季度跑一次权限矩阵导出，重点看「显式拒绝」——一个拒绝条目会让后续排查变成噩梦，我们规定除安全部门外不允许使用显式拒绝，一律用「不授权」实现。
⑤【验收交付】
抽查 20 个账号，权限与岗位矩阵 100% 一致；跨部门访问测试 12 次全部被拒。误删演练：删掉一个 2.4GB 的项目目录，从卷影副本恢复用时 8 分钟，文件数 1,846 个，校验一致。
交付权限矩阵表、目录结构规范、离职交接单模板，培训各部门文员 12 人，重点讲「不要用 everybody 共享」。
⑥【售后承诺】
权限错乱、误删恢复、共享盘掉线，2 小时到场，大年三十 17704868686 也接。目录怎么规划、权限怎么加，终身免费咨询。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）