如何让用户可以在共享文件夹中编辑但不允许他们删除里面的文件

Question

我是一所学校的 IT 技术人员。我们使用 DC 和文件服务器，因此教师使用他们自己名字的域用户。文件服务器上有共享给教师使用的文件夹，问题是如何让教师帐户可以读取/编辑共享文件夹中的文件，但不允许他们删除其中的任何文件？

有时，如果教职员工或教师使用他们的域帐户登录，则无法加载配置文件或无法在“我的电脑”中连接/显示共享文件夹。有时一位老师找到我并说他无法进入共享文件夹，计算机会向他显示有关“组策略客户端”的错误消息。

提前致谢！！！

服务器：Windows Server 2008 标准工作站：Windows XPs 和 7s

Answer 1

这完全可以通过 NTFS 权限实现，但远非标准配置。我们不得不做类似的事情，创建投递箱：学生可以复制文件的目录，但一旦到了就不能删除它们，也不能看到任何其他目录。可以进行一些自定义工作。

关键是了解在文件和目录上设置不同权限时的行为方式。

要获得您要查找的内容，请为给定目录中的文件创建/修改但不删除：

• 在目录上：
  • “创建文件”权限（icacls：WD）授予创建文件的能力。
  • “列出文件夹”权限（icacls：RD）授予列出文件的能力。
• 在目录中的文件上（在目录上设置，但继承）
  • “读取数据”权限（icacls：RD）授予读取文件的能力。
  • “写入数据”权限（icacls：WD）授予编辑文件的能力。
  • “附加数据”权限（icacls：Ad），授予修改文件的能力（对于实际修改它们的 Access 数据库之类的东西，而不仅仅是删除/重新创建）

icacls 调用看起来像这样：

icacls M:\FacStaff\Physics\ /grant PhysFac:(OI)(CI)(WD)(RD)
icacls M:\FacStaff\Physics\ /grant PhysFac:(IO)(AD)

只有多一步。默认情况下，创建者/所有者获得的权限比您想要的多得多。所以你也必须修改它：

icacls M:\FacStaff\Physics\ /grant *S-1-3-0:(oi)(ci)(rd)(wd)

这将创建者/所有者更改为适当的限制。

不过，我必须谨慎。当有人点击保存时，大多数 Office 文件格式都会执行 delete-createNewFile 过程。用户无法删除的目录对于一般的办公室工作没有多大用处。