域控制器GPO策略配置咨询：普通用户无管理员权限但需实现文件夹网络共享

Hi Amin, 我明白你现在的困扰——想让普通用户能共享文件夹到网络，但又不想给他们完整的管理员权限，之前的尝试没达到预期对吧？咱们先拆解下核心问题：你不需要给用户本地管理员权限再去限制，直接通过最小权限原则配置就能实现需求，下面是具体的步骤：

一、先纠正之前的思路问题 #

你之前给用户本地管理员权限再通过GPO限制安装权限的做法其实绕了弯路，而且管理员权限自带太多冗余权限，容易引发权限冲突。咱们换个精准的方式：只给用户共享文件夹所需的最小必要权限，完全不用赋予本地管理员权限。

二、具体配置步骤 #

1. 配置目标文件夹的NTFS权限 #

这是基础，确保用户能访问文件夹内容：

• 找到要共享的文件夹，右键「属性」→「安全」选项卡，点击「编辑」。
• 添加需要授权的普通用户/用户组，赋予他们读取和写入权限（根据实际需求调整，若仅需读取共享就选「读取」），勾选对应的「允许」项后保存。

2. 通过GPO赋予用户创建共享的核心权限 #

普通用户默认无法创建共享，需要通过GPO分配专门权限：

• 打开「组策略管理控制台（GPMC）」，针对目标OU创建或编辑GPO。
• 定位到 计算机配置 > Windows 设置 > 安全设置 > 本地策略 > 用户权限分配。
• 找到**「创建共享对象」**策略，点击「添加用户或组」，把需要授权的普通用户/组加进去。这个权限是让用户能创建共享的关键，无需管理员权限。
• 额外检查：在 用户配置 > 管理模板 > 网络 路径下，确保没有启用「禁止用户共享文件夹」类的限制策略，若有，设置为「未配置」或「禁用」。

3. 配置共享权限（手动或批量部署） #

• 手动配置：回到文件夹属性的「共享」选项卡，点击「高级共享」，勾选「共享此文件夹」，设置共享名后点击「权限」，添加目标用户/组，赋予读取或完全控制权限（按需选择）。
• 批量部署（适合多电脑）：在GPO的 计算机配置 > 首选项 > Windows 设置 > 共享 路径下，右键「共享」→「新建」→「共享」，配置共享路径、共享名、用户权限等，一键推送到目标计算机。

4. 清理旧配置并验证 #

• 把之前给用户的本地管理员权限彻底移除，避免权限溢出。
• 让用户注销重新登录，测试两个核心点：
  • 是否能正常创建/修改共享文件夹；
  • 尝试安装软件或执行管理员级操作（比如修改系统设置），是否会提示权限不足。

三、常见问题排查 #

如果配置后还是不行，检查这几点：

• 确认GPO已经成功应用到目标计算机（在客户端执行 gpresult /r 命令查看应用状态）；
• 文件夹的NTFS权限和共享权限是否有冲突（比如NTFS设置了「拒绝」权限，会优先覆盖「允许」权限）；
• 客户端本地安全策略是否和域GPO存在冲突，域GPO优先级更高，可检查本地策略是否被域策略覆盖。

备注：内容来源于stack exchange，提问作者Amin Baghiyat