PowerShell设置NTFS权限：允许重命名读写却禁止删除的问题排查

我碰到过很多次这种NTFS权限的矛盾问题，你的情况核心原因很清晰：Modify这个复合权限自带了Delete权限，所以一加Modify用户就能删文件；但去掉Modify后，你又缺了重命名必需的权限——这是因为NTFS里重命名和删除的权限逻辑有重叠，但咱们可以通过拆分权限解决这个问题。

问题根源拆解 #

首先得明确NTFS权限的对应关系：

• Modify是个“打包”的复合权限，里面包含了Delete——这就是为什么加了它用户就能删除文件/文件夹。
• 重命名操作其实需要两个关键权限：
  1. 对要重命名的文件/文件夹本身的Write Attributes权限（因为文件名属于文件的基本属性）
  2. 对父文件夹的Write权限（重命名本质是更新父文件夹里的目录条目，需要创建新条目、修改结构的权限）

你之前的脚本里虽然加了GenericWrite（它包含Write Attributes），但可能因为权限继承或者复合权限的覆盖问题，去掉Modify后重命名所需的权限链没打通；但更大的问题是Modify自带的Delete直接破坏了“禁止删除”的需求。

解决方案：拆分权限+明确拒绝Delete #

咱们不用Modify这个“大礼包”权限，而是精准添加所需权限，再用拒绝规则堵死删除的路径。修改后的PowerShell脚本如下：

# 添加允许的核心权限：覆盖读写、创建、遍历、属性修改
Add-NTFSAccess -Path '\fileshare\path' -Account 'QC_PDQC_spec' -AccessType Allow -AppliesTo ThisFolderSubfoldersAndFiles -AccessRights 'GenericRead', 'GenericWrite', 'Traverse', 'CreateFiles', 'CreateDirectories', 'ReadAttributes', 'WriteAttributes'

# 明确拒绝Delete权限：优先级高于任何允许规则，彻底禁止删除
Add-NTFSAccess -Path '\fileshare\path' -Account 'QC_PDQC_spec' -AccessType Deny -AppliesTo ThisFolderSubfoldersAndFiles -AccessRights 'Delete'

为什么这样有效？ #

• GenericRead+GenericWrite搞定基础的读写需求，同时包含了属性读写的权限；
• Traverse确保用户能正常遍历文件夹结构；
• CreateFiles+CreateDirectories允许创建新的文件和文件夹；
• 单独列出ReadAttributes+WriteAttributes是为了避免权限继承的坑，明确保证重命名所需的属性修改权限生效；
• 最后的Deny Delete规则是关键：NTFS里拒绝权限的优先级高于允许权限，不管之前有没有隐含的Delete权限，这条规则都会彻底禁止用户删除文件/文件夹，但不影响重命名需要的属性修改和目录更新权限。

注意事项 #

1. 测试时先在非生产环境验证，避免权限设置错误影响业务；
2. 如果遇到权限继承的冲突，可以考虑关闭目标文件夹的权限继承，再重新设置这些规则；
3. 拒绝权限别乱用，只针对Delete即可，避免影响其他必要操作。

内容的提问来源于stack exchange，提问作者Vojta