如何授予用户对文件的写入权限，而他所在的组被拒绝写入（在 Active Directory 中）？

Question

例如，我有一个组Department A。在其他用户中，我有一个名为Boss的用户。我想创建一个只能由Boss更改的文件，并且对该组中的其他用户只读。

我知道组级别的拒绝覆盖允许用户级别，所以我不能只使用共享/ntfs 权限来做我需要的事情。

在这里，我看到两种解决方案：

1. 创建一个子组，例如A 部门没有老板，拒绝该子组写入，并授予A 部门写入权限。那行得通吗？
2. 荷马辛普森的方法。为组中的每个用户单独设置权限。

有什么优雅的解决方案吗？

PS：操作系统是Windows 2003 Server

Answer 1

不要使用拒绝。反而：

• 允许读取组“A 部门”
• 允许用户“老板”读+写