Como as permissões NTFS funcionam com exclusão?

Question

Eu tenho uma pastaA. Eu gostaria de um usuário (vamos chamá-lo de darth) para poder fazer qualquer coisa (criar, ler, gravar, excluir) pastas / arquivos dentro de folderA, MAS darth não deve ser capaz de excluir folderA em si. Para conseguir isso, apliquei as seguintes permissões.

C:\>icacls foldera
    foldera DHI-VM1\darth:(DENY)(D)
        DHI-VM1\darth:(RX,W,WDAC,WO,DC)
        NT AUTHORITY\SYSTEM:(OI)(CI)(F)
        BUILTIN\Administrators:(OI)(CI)(F)
        BUILTIN\Users:(OI)(CI)(RX)
        BUILTIN\Users:(CI)(S,WD,AD)
        CREATOR OWNER:(OI)(CI)(IO)(F)

Successfully processed 1 files; Failed processing 0 files

Eu sei que Deny tem precedência sobre Allow, mas nesse caso o Deny & Permitir são para objetos diferentes (negar exclusão na pasta pai, permitir na pasta filha). Eu ainda não consigo excluir nada dentro da pasta A apesar da permissão DC (na segunda linha após a WO). Por que isso?

SO - Windows Server 2008 R2

    

Answer 1

Pode ser conseguido de forma diferente, manipulando permissões avançadas e permissões de herança.

Por exemplo, como eu faço isso para o usuário mmv e teste de pasta

D:\empty\test>icacls .
VS2K8TS\mmv:(OI)(CI)(IO)(F)
VS2K8TS\mmv:(RX,W,DC)
BUILTIN\Administrators:(I)(OI)(CI)(F)
NT AUTHORITY\system:(I)(OI)(CI)(F)
CREATOR-OWNER:(I)(OI)(CI)(IO)(F)

Eu só adiciono permissões para mmv. Então mmv quase como administrador nesta pasta, mas incapaz de excluir a própria pasta.

Atente para o usuário (mmv) com dois registros acl avançados, para a própria pasta e para subpastas e arquivos.