①【项目背景】1.2TB共享盘，谁都能进
稀土大厦一家集团公司，文件服务器用了九年，共享盘1.2TB，部门文件夹套了四层。审计时随手点开「行政资料」，里面一个「员工入职」文件夹，三千多份身份证扫描件、学历证书、体检报告，权限是「Everyone完全控制」。更麻烦的是，离职三年的员工账号还开着，权限一条没删。
②【咨询设计】只读不等于安全
很多客户觉得共享盘设成只读就没事，但实际上只读也能复制、能外发，而且权限继承会让子文件夹绕过父级设置。方案：先做敏感文件发现，用正则匹配身份证号、银行卡号、手机号，配合OCR识别扫描件；再做权限重构，按AGDLP原则（账号归全局组、全局组归域本地组、给域本地组赋权），删除所有直接授权；最后上文档加密和水印，外发要审批。
③【施工规划】动权限之前先动备份
1.2TB先做一次全量备份到NAS，再导出所有文件夹的ACL清单，形成「谁对什么有什么权限」的矩阵。按部门重建目录树，历史遗留的「临时」「新建文件夹」「旧版」统一归档到只读区。迁移用robocopy带/COPYALL保留权限，分批做，每批完成后抽检。遇到路径超过260字符的先改短目录名，否则复制到一半报错，这种坑在老共享盘里特别多。客户端映射盘用组策略按组下发，不再手工建。
④【安全补丁】账号生命周期要闭环
HR的离职流程加一个IT节点，离职当天禁用账号、回收设备、转移文件所有权。每季度跑一次账号核对，三个月未登录的禁用。共享盘开启详细审计，记录读取、复制、删除，日志留存180天。文件服务器开访问枚举，用户看不到没权限的目录，减少乱点。敏感目录加水印，截图带工号和时间。外发文件走审批，禁止用个人网盘。
⑤【验收交付】拿矩阵和清单交差
扫描出敏感文件4821份，其中身份证扫描件3106份、合同872份、财务报表843份。权限从平均每目录38个授权降到4.2个，删除直接授权1260条。抽测十个岗位，越权访问全部被拒。交付权限矩阵、敏感文件清单、账号核对表、审计日志样例。
⑥【售后承诺】权限这东西，三个月不收拾就长回去
我们提供季度权限复核，新入职、转岗、离职三个节点自动提醒。故障2小时到场，稀土大厦到昆区二十分钟。技术热线17704868686。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）