实验预计耗时：60 分钟

1. 课程背景

1.1 课程目的

本课程的主要目的是让学员理解Windows的共享权限和NTFS权限的基本概念、差异及配置方法。在日常工作过程中，无论是使用Windows个人电脑还是Windows服务器，若想规范、安全地管理文件和文件夹，就必须熟悉Windows的共享权限和NTFS权限，了解其具体作用及差别，掌握两种权限的常规配置方法。

本课题通过使用2台腾讯云Windows Server实例演示Windows的共享权限和NTFS权限的配置方法及最终效果。通过本课程的学习，让学员能掌握Windows共享权限和NTFS权限的基本概念及不同配置方法，从而在个人电脑使用或企业服务器管理中能灵活配置共享权限和NTFS权限。

1.2 课前知识准备

1.相关概念

• 腾讯云服务器：腾讯云服务器CVM（Cloud Virtual Machine）是腾讯云提供的可扩展的计算服务。使用CVM避免了使用传统服务器时需要预估资源用量及前期投入，帮助您在短时间内快速启动任意数量的云服务器并即时部署应用程序。腾讯云CVM支持用户自定义一切资源：CPU、内存、硬盘、网络、安全等等，并可以在需求发生变化时轻松地调整它们。相关云服务器概念可以参考腾讯云文档中心云服务器概述。
• Windows Server：Windows Server是微软推出的Windows的服务器操作系统，其核心是Microsoft Windows Server System（WSS）。
• 用户：用户是用于区分操作系统中不同的使用者。在Windows系统中有来宾用户、管理员用户及系统用户等，也可以自定义不同的新用户。
• 组：组是用户帐号的集合，当用户较多的时候，通常会将具有相同身份和属性的用户组合到一个逻辑的集合中，并且一次赋予该集合访问资源的权限而不再单独给用户赋予权限，从而简化了用户及权限的管理。Windows系统中内置了Administrators、Users以及Everyone等本地组用于管理本地计算机或访问本地资源的权限，也可以自定义不同的组进行管理使用。
• NTFS文件系统：NTFS（New Technology File System）是Windows NT内核的系列操作系统支持的、一个特别为网络和磁盘配额、文件加密等管理安全特性设计的文件系统。NTFS能提供长文件名、数据保护和恢复，能通过目录和文件权限实现安全性，并支持跨越分区。NTFS也是Windows系统中默认使用的文件系统。
• NTFS权限：在Windows系统中可以对存储在NTFS文件系统的磁盘中的文件或文件夹设置不同用户或组的使用权限，该权限即称为NTFS权限。只有拥有适当NTFS权限的用户或组成员，才能访问这些文件资源。NTFS权限可以分为标准权限和特殊权限，特殊NTFS权限包含了用户针对资源的所有特定操作，而标准NTFS权限则是由多个特殊NTFS权限构成的特定组合。所以标准权限可用于满足一般需求，而特殊权限可以更精细地进行权限分配。Windows为了简化管理，将一些常用的特殊NTFS权限组合起来形成了标准NTFS权限，当需要分配权限时可以通过分配一个标准NTFS权限以达到一次分配多个特殊NTFS权限的目的。常用的标准NTFS权限如下：
  • 完全控制：用户可以修改、增加、移动和删除文件，以及它们相关的属性和目录。另外，用户还能改变所有文件和子目录的权限设置；
  • 修改：用户能够查看和修改文件及文件属性、删除和添加目录文件或文件属性；
  • 读取和执行：用户可以读取和运行可执行文件，包括脚本；
  • 读取：用户能够查看文件和文件属性；
  • 写入：用户能够改写文件。
• 共享文件夹：共享文件夹是指某个计算机用来和其它计算机间相互分享的文件夹。用户可以把某个文件夹共享出来，以供局域网内的其他计算机能够通过网络访问共享文件夹中的内容。
• 共享权限：共享权限是基于共享文件夹设置的权限，只有当用户通过网络访问共享文件夹时才起作用，如果用户是本地登录计算机则共享权限不起作用。共享权限共有三个：读取权限允许用户浏览或执行文件夹中的文件；写入权限允许用户改变文件内容或删除文件；完全控制权限允许用户完全访问共享文件夹。但在配置共享权限时，写入权限不能单独配置，必须和读取权限一起选择。 通常在设置权限时，基于权限最小化原则并结合用户需求，只赋予用户所必须的权限。例如在文件服务器上可以只赋予用户读取和写入的权限，而不赋予修改或其他权限，从而确保资源得到最大的安全保障。

2.相关原理

• 由于Windows操作系统使用的磁盘分区都是NTFS，所以存储在Windows系统中的文件及文件夹都具有相应的NTFS权限，用户在访问这些文件资源时就会受到NTFS权限的制约。而这些NTFS文件系统的文件夹如果共享出去形成共享资源，又会具有共享权限，用于对通过网络访问的用户进行限制。在同时具有共享权限与NTFS权限时，共享权限将成为第一道防线。有权限访问共享资源的用户，将首先受到共享权限的限制，共享权限将定义登录用户对共享资源最大的访问范围。作为第二道防线的NTFS权限，这个权限可以定义精细的权限。
• 当共享资源(如Tencent文件夹)的共享权限与NTFS权限设置相同时，例如对Everyone组都具有读取权限时，两种权限将互不影响。当两种权限因设置不同而造成冲突时，则会取其中较严格的权限进行执行，例如共享权限为读取，NTFS权限是写入，那么最终权限是完全拒绝，因为这两个权限的组合权限是两个权限的交集。