我们使用Active Directory运行Windows Server 2003 R2 ，并且遇到networking共享问题，用户试图保护其文档，从其文件/文件夹权限中删除所有人（包括Administrator帐户）。 由于Administrator不再具有对他们的read权限，所以我们甚至不能手动备份文件，因为我们得到许可错误。
我们find的一个解决scheme是将文件和目录的owner更改为Administrator帐户。 然后，我们可以根据需要更改权限。 问题是，这必须手动完成，所以不能真正应用于整个共享。
我们尝试过的另一个解决scheme是使用cacls ，如下所示：
cacls d:\path\to\share /C /T /E /G Administrator:F
与此问题是，我们仍然在Administrator被删除的文件/文件夹上获得ACCESS DENIED错误。
问题1：是否有办法以recursion方式至lessread对Administrator帐户的所有文件/文件夹的read权限？
那将是短期的。 从长远来看，我们正在寻找一种解决scheme来防止用户从文件/文件夹权限中删除Administrator 。 既然我们即将迁移到Windows Server 2008 R2我们可以等到我们已经迁移到实施这样的解决scheme，如果需要的话。
Q2：有没有办法阻止用户从Windows Server 2003/2008的文件/文件夹权限中删除pipe理员？
问题1：是否有办法以recursion方式至less读取对pipe理员帐户的所有文件/文件夹的读取权限？
如果权限被inheritance（即不在不同的文件和文件夹中单独设置），那么更改根文件夹的权限并设置“replace所有子对象…”checkbox将replace具有inheritance权限的所有权限。
这当然会取代应该具有不同权限的子项目的权限。
Q2：有没有办法阻止用户从Windows Server 2003/2008的文件/文件夹权限中删除pipe理员？
没有。
虽然有一个单独的标志为“更改权限”，但Windows将忽略该文件的所有者（所有者可以随时更改权限），否则空ACL（或者拒绝所有人都使用ACE）将不可逆。
我们甚至无法手动备份文件，因为我们得到权限错误。
你为什么要这样的手动操作？ 备份软件应该运行并断言会绕过ACL的备份（以及还原，还原）权限。 如果用户需要手动备份他们自己的文件的一部分，那么他们可以很容易地复制。
也许这是一个真正的用户培训问题：如果您拒绝pipe理员访问，那么pipe理员不能帮助您进行文件pipe理。
究竟该做什么取决于这个问题有多广泛 – 有多less人做了这个以及受影响的目录是如何构成的。
您应该设置共享目录，以便个人和组目录inheritance权限。 那么，如果不是太多的人，你可以控制他们的目录并重置权限。 或者你可以告诉每一个人 – “直到你让pipe理员使用你的账户，然后改回来，你才能为你做好备份”。
（并告诉他们，如果他们再次这样做，他们会感到抱歉，“无备份”是问题的开始。）
如果广泛的话，你可以取得所有权，设置所需的pipe理权限（在此之后，我会让它“完全控制”，而不仅仅是读权限），然后添加适当的用户或组权限。
清理后，你可以防止它再次发生这样的事情。 您可以让用户完全控制NTFS的权限，只需设置共享权限而不是完整的。 networking访问是两者的结合。 当pipe理团队需要通过networking完全控制数据时，请使用driveLetter $共享中的一个到共享级别仍然完全控制的相同path。